Fiche de révision : Gestion intégrée des plans de continuité

📋 Plan du Cours

1. Fondements du PCA et du PRA
2. Résilience organisationnelle
3. Gestion de crise et urgence
4. Élaboration d’un PCA
5. Activités essentielles et analyse des risques
6. Activation du PCA et cellule de crise
7. Communication de crise et médias
8. Activation du PRA après sinistre
9. Retour à la normale et enseignements

📖 1. Fondements du PCA et du PRA

🔑 Notions clés & Définitions

• Plan de Continuité d’Activité : Le PCA est un dispositif qui vise, selon divers scénarios y compris extrêmes, à maintenir temporairement des prestations essentielles puis à planifier la reprise des activités.
• Plan de Reprise d’Activité : Le PRA est la partie centrée sur le rétablissement des systèmes d’information, en s’appuyant sur des sauvegardes, redondances et procédures de reprise.
• Résilience organisationnelle : La résilience est la capacité d’une organisation à traverser une crise majeure sans perdre sa pérennité, voire en améliorant durablement sa performance après la crise.
• Gestion de crise : La gestion de crise coordonne le pilotage pendant la crise pour déclencher efficacement les réponses du dispositif de continuité et limiter l’aggravation de la situation.
• Urgence : Une urgence correspond à un événement ponctuel qui se résout en quelques heures ou jours sans remettre en cause la continuité de l’activité.

📝 Points essentiels

• La fréquence, le coût et la complexité des crises augmentent sur environ 30 ans, avec plus d’interdépendances entre dimensions organisationnelles affectées.
• Les organisations disposant d’une stratégie de continuité sont décrites comme plus résilientes face aux crises.
• Le PCA couvre le maintien d’activités en mode dégradé pendant la crise, tandis que le PRA intervient pour restaurer les systèmes après l’incident.
• Une absence de coordination en crise peut provoquer un suraccident et aggraver la situation par manque de communication et d’organisation.
• Une crise suit un cycle avec phase latente, incident déclencheur, ascension critique, stabilisation puis reconstruction, avec possibilité de rebonds si les impacts sont mal évalués.

💡 Astuce mémo

PCA = Continuer (en crise, mode dégradé) ; PRA = Reprendre (après incident, restauration IT).

📖 2. Résilience organisationnelle

🔑 Notions clés & Définitions

• Résilience des plans : La résilience, dans un PCA ou un PRA, désigne la capacité à rétablir l’activité à un niveau de performance équivalent ou supérieur après la crise.
• Résolution (secteur financier) : La résolution est une intervention des autorités quand un plan de continuité échoue, visant à redresser ou liquider en limitant l’impact sur les clients.

📝 Points essentiels

• Un PCA bien structuré renforce la résilience et réduit l’ampleur des impacts d’une crise majeure.
• Depuis le début du XXIᵉ siècle, la fréquence, le coût et la complexité des crises ont augmenté, ce qui accroît l’intérêt des dispositifs de continuité.
• La résolution provient du secteur financier après 2007-2010 et repose sur la prise en charge par des autorités lorsque la continuité échoue.
• Une analyse de scénarios intégrant résilience et résolution aide à anticiper les risques, notamment liés aux nouvelles technologies.
• Même avec des stratégies de prévention rigoureuses, une crise surviendra tôt ou tard, ce qui rend la préparation indispensable.

💡 Astuce mémo

Résilience = rebondir après le choc ; Résolution = autorités quand le plan casse (après 2007-2010).

📖 3. Gestion de crise et urgence

🔑 Notions clés & Définitions

• Signaux faibles : Ce sont des indices précoces annonciateurs de risques encore peu visibles, qui peuvent accélérer la crise si aucune action n’est lancée.
• Incident déclencheur : C’est l’événement qui démarre une courte période d’urgence où une réaction adéquate peut empêcher l’escalade vers une crise durable.
• Phase d’ascension : C’est la phase critique où la crise s’amplifie, entraînant des risques secondaires et augmentant les dommages.
• Mutation structurelle : C’est l’évolution d’une crise qui ne se limite pas à un retour temporaire à la normale, mais impose des changements profonds souvent irréversibles.

📝 Points essentiels

• L’absence d’intervention face à des signaux faibles favorise l’accélération de la crise jusqu’à ce que l’incident déclencheur ouvre une phase d’urgence.
• La phase d’ascension est critique car elle amplifie la crise et fait apparaître des risques secondaires qui aggravent les dommages.
• Après le pic, la stabilisation peut progresser, mais des rebonds restent possibles si l’évaluation des impacts est erronée ou si les mesures sont levées trop tôt.
• Une crise peut évoluer en mutation structurelle, ce qui exige une conduite du changement au-delà des mécanismes classiques de gestion de crise.
• Lors d’un accident grave, il est trop tard pour chercher quoi faire ou pour obtenir toutes les informations : les actions doivent être déjà réfléchies, testées et validées.
• Le management de crise s’inspire du domaine militaire : des entraînements et simulations fréquents améliorent la résilience, et l’information sert à la veille et au renseignement.

💡 Astuce mémo

Séquence à retenir : Signaux faibles → Incident déclencheur → Ascension (critique) → Pic → Rebond possible → Reconstruction (changements + reprise).

📖 4. Élaboration d’un PCA

🔑 Notions clés & Définitions

• DMIA : La DMIA est la durée maximale d’interruption acceptable pour un service, utilisée pour fixer le niveau de continuité attendu.
• Mode dégradé : Le mode dégradé est une organisation de secours permettant de maintenir partiellement l’activité selon des conditions et procédures définies à l’avance.
• Ressources critiques : Les ressources critiques sont les moyens indispensables à la continuité, regroupés par catégories matérielles, humaines, informationnelles, immatérielles et externes.
• Fiche par processus : Une fiche par processus recense pour chaque processus critique ses objectifs de continuité, sa criticité, ses interfaces, ses coûts et les ressources associées.
• Risque ISO 31000 : Le risque correspond à l’effet de l’incertitude sur l’atteinte des objectifs, caractérisé par une menace (ou scénario) et ses vulnérabilités avec des impacts.

📝 Points essentiels

• Pour un sinistre rare, la mesure de la continuité se fait via la durée maximale d’interruption acceptable, avec des exemples de DMIA de 12 heures (livraison sensible) ou 30 minutes (urgence).
• Un mode dégradé doit être activable sur des circonstances définies, intégrer les contraintes réglementaires, prévoir des procédures et mesures juridiques, organiser le redéploiement du personnel (interne/éventuel intérim) et garantir des solutions de dernier secours rapidement mises en œuvre.
• Les ressources critiques se déclinent en cinq catégories : infrastructures, systèmes d’information, ressources humaines, ressources intellectuelles et immatérielles, prestations externes ou produits critiques.
• L’analyse des conséquences d’une interruption chiffre les coûts (humains, part de marché, contractuels, juridiques, opérationnels, sociaux, psychologiques, environnementaux, partenaires, image) et permet de valider la DMIA.
• L’échelle de mesure des impacts doit être identique pour tous les processus et acceptée par responsables métiers et processus afin de déterminer le périmètre fonctionnel et temporel des processus critiques.
• La gestion du risque pour les activités essentielles suit quatre étapes : identifier les risques tous risques, analyser selon fréquence et gravité, évaluer selon le contexte et les enjeux, puis traiter pour limiter probabilité et impacts.

📖 5. Activités essentielles et analyse des risques

🔑 Notions clés & Définitions

• ISO 31000 (risque) : Le risque est l’effet de l’incertitude sur l’atteinte des objectifs, avec des objectifs pouvant être financiers, santé, sécurité, environnement ou autres niveaux (stratégique, projet, processus).
• Incertitude : L’incertitude correspond à un manque d’information sur la compréhension d’un événement, de ses conséquences ou de sa vraisemblance.
• Menace vulnérabilités impacts : Un risque se caractérise par une menace (ou scénario), des vulnérabilités exploitées, puis des impacts classés selon leur gravité et leur type.
• Probabilité (plausibilité) d’événement : La probabilité (ou plausibilité) s’exprime par le produit des deux composantes que sont la menace et les vulnérabilités.

📝 Points essentiels

• Les risques susceptibles de déclencher une crise sont ceux dont la gravité est majeure, même si leur vraisemblance est faible, la vraisemblance servant à hiérarchiser l’ordre des scénarios.
• Un scénario de crise se construit en limitant d’abord les impacts en traitant le risque par une analyse détaillée, souvent centrée sur les conséquences plutôt que sur les seules causes.
• Le suivi des seuils de mobilisation distingue par niveaux : surveillance normale, vigilance accrue, anticipation de prévention/protection, puis déclenchement des plans d’urgence.
• Les impacts se mesurent notamment en impacts financiers, sur les ressources humaines, et sur la réputation et l’image de marque.
• Pour des sites informatiques inondés, le rétablissement peut prendre de 2 à 6 semaines, parfois plusieurs mois, avec des actions comme pomper l’eau, sécher, contrôler et rééquiper.

💡 Astuce mémo

Menace-+Vulnérabilités=Probabilité ; Impacts=Conséquence à limiter.

📖 6. Activation du PCA et cellule de crise

🔑 Notions clés & Définitions

• Activation du PCA : L’activation du plan de continuité déclenche la mise en œuvre des opérations prévues par le PCA lors d’une situation perturbante.
• Cellule de crise : La cellule de crise est l’instance opérationnelle qui pilote la réponse pendant l’événement et coordonne les actions prévues au PCA.
• Logigrammes d’opérations : Les logigrammes d’opérations décrivent l’enchaînement pas à pas des actions à exécuter lors d’un scénario de crise.
• Timing prévisionnel : Le timing prévisionnel précise à quels moments chaque action doit être lancée pendant la mise en œuvre du plan.

📝 Points essentiels

• Dans l’urgence, l’exécution du PCA suppose la disponibilité de toutes les ressources invoquées, y compris les ressources financières.
• Le scénario est souvent accompagné de logigrammes décrivant les opérations dans un ordre d’exécution étape par étape.
• Les logigrammes peuvent être complétés par un timing prévisionnel des opérations, avec l’usage d’outils de planification.
• Les exercices peuvent servir à valider le fonctionnement de la cellule de crise via une activation simulée.
• Un plan de secours non testé est considéré comme a priori non valide, car sa validité dépend des tests réguliers effectués.
• Avant de déclencher les premiers exercices, la formation des personnels aux procédures techniques doit être ciblée et réalisée.

📖 7. Communication de crise et médias

🔑 Notions clés & Définitions

• Communication de crise : La communication de crise est la gestion coordonnée des messages internes et externes destinée à informer pendant une crise avec un discours maîtrisé.
• Porte-parole : Le porte-parole est la personne habilitée à délivrer un message unique aux publics concernés afin d’éviter les discours contradictoires.
• Postures face aux médias : Les postures face aux médias regroupent les attitudes possibles de l’organisation pour répondre à la crise, allant de la coopération au refus.
• Clés d’une communication réussie : Les clés d’une communication réussie sont des principes qui rendent le discours crédible et compréhensible, tout en restant juridiquement prudents.

📝 Points essentiels

• La communication de crise doit être préparée en amont avec des scénarios préétablis pour limiter l’improvisation le jour J.
• La relation avec les médias avant la crise influence la façon dont le message sera reçu pendant la crise.
• Trois postures possibles existent : reconnaissance de la crise et responsabilité, coopération totale, ou refus de coopération avec les médias.
• Un discours clair, factuel et transparent renforce la crédibilité de l’organisation pendant l’événement.
• Le silence ou l’évitement est souvent interprété comme un aveu de faute par les publics.
• Des signes extérieurs de maîtrise incluent d’être sur le lieu de l’accident, de montrer de l’empathie et de rester calme mais concerné.

💡 Astuce mémo

M-C-T-E : Message clair, Coopération maîtrisée, Temps rapide, Empathie sur le lieu (sans panique).

📖 8. Activation du PRA après sinistre

🔑 Notions clés & Définitions

• Restauration des données : La restauration des données consiste à rétablir l’information depuis les sauvegardes les plus récentes après un sinistre ou une cyberattaque.
• Redémarrage progressif : Le redémarrage progressif est une remise en marche graduelle des services après sinistre, en commençant par les applications les plus critiques.
• Plan de retour à la normale : Le plan de retour à la normale organise le passage d’une situation temporaire vers l’état cible, y compris son volet financier.

📝 Points essentiels

• L’activation du PRA après crise commence par l’analyse des dommages pour mesurer la gravité de la cyberattaque ou du sinistre.
• La reprise passe ensuite par la restauration des données depuis les sauvegardes les plus récentes puis par un redémarrage progressif, priorisant finance, logistique et service client.
• Avant toute remise en production, des tests de validation doivent confirmer la conformité des systèmes et des données restaurées.
• La phase de contrôle et de renforcement vise à rechercher la faille d’origine puis à mettre à jour les systèmes de défense.
• La réparation suit « quatre + une » étapes : évaluer totalement les dommages, évaluer les moyens à déployer, évaluer les solutions temporaires, établir le plan de retour à la normale (y compris financier), puis le mettre en œuvre.
• La levée trop précoce de la situation de crise augmente le risque de rechute, d’où une surveillance et un réengagement progressif des ressources selon des indicateurs concrets.

📖 9. Retour à la normale et enseignements

🔑 Notions clés & Définitions

• Fin de la situation de crise : La fin de crise correspond au moment où l’on estime la situation suffisamment stabilisée pour passer du mode d’urgence à une gouvernance normale.
• Retour à la normale progressif : Le retour à la normale progressif consiste à réallouer les ressources petit à petit, en s’appuyant sur des indicateurs concrets pour éviter un rebond.
• Levée trop précoce : La levée trop précoce est une clôture réalisée avant l’achèvement complet des actions correctives, augmentant le risque de rechute.
• Tentation de maintenir l’état de crise : La tentation de maintenir l’état de crise désigne le fait de prolonger volontairement l’urgence pour faciliter des décisions difficiles ou éviter des revendications.
• Enseignements post-crise : Les enseignements post-crise sont les retours structurés qui transforment l’expérience de l’événement en améliorations des processus, comportements et plans futurs.

📝 Points essentiels

• La clôture intervient entre la mise en place des actions correctives et leur achèvement, avec pour objectif d’éviter tout rebond de crise.
• Une levée trop précoce expose à une rechute car le terrain affaibli peut aggraver une seconde crise.
• La surveillance et la réallocation progressive des ressources permettent d’éviter le retour en arrière et de rééquilibrer l’effort économique.
• Les décisions de clôture doivent être fondées sur des indicateurs objectifs et une gouvernance normale doit être rétablie sans instrumentalisation.
• Les enseignements post-crise portent sur ce qui a fonctionné et ce qui a échoué, afin de mettre à jour les plans de continuité et de gestion des risques.

💡 Astuce mémo

CRISE = Corriger puis Réallouer (progressif) puis I nstruire (mise à jour des plans).

📅 Repères chronologiques

1. 30 dernières annéesAugmentation de la fréquence, du coût et de la complexité des crises
2. 2007- 2010Origine de la notion de résolution (intervention des autorités quand un plan échoue)
3. 2013Publication du SGDSN : Guide pour réaliser un plan de continuité d’activité
4. 2010AFNOR : Plan de Continuité d’Activité pour les PME/PMI de la région Centre
5. 2022Le Ray : De la gestion des risques au management des risques
6. 2017Darsa : 365 Risques en entreprise

📊 Tableaux de synthèse

Différences PCA vs PRA

⚠️ Pièges & confusions fréquents

1. Confondre PCA et PRA : le PCA maintient en mode dégradé pendant la crise, alors que le PRA vise la restauration/retour à la situation normale après l’incident.
2. Croire que l’urgence et la crise exigent les mêmes réponses : l’urgence se résout en quelques heures/jours sans remettre en cause la continuité, contrairement à la crise.
3. Choisir un scénario sans chiffrer/valider DMIA : la durée maximale acceptable doit être fondée sur l’analyse des conséquences et une échelle homogène.
4. Sous-estimer les signaux faibles : ne pas intervenir accélère la crise jusqu’à l’incident déclencheur et la phase d’ascension.
5. Oublier que la validité dépend des tests : un plan de secours non testé est a priori non valide et doit être régulièrement vérifié.
6. Lever la crise trop tôt : clôturer avant l’achèvement augmente le risque de rechute et impose un retour à la normale progressif basé sur des indicateurs.
7. Mélanger RPO/RTO/DMIA : RPO = perte de données maximale en temps depuis la dernière sauvegarde valide, RTO = temps maximal de restauration des systèmes, DMIA = durée maximale d’interruption acceptable avant contournement/palliatif.

✅ Checklist Examen

1. Définir PCA et PRA (rôle, objectifs, complémentarité) et donner un exemple d’application pour chacun.
2. Expliquer l’évolution des crises (fréquence, coût, complexité, interdépendances) et en déduire l’intérêt de la continuité.
3. Distinguer urgence et crise, puis décrire le cycle complet (phase latente, incident déclencheur, ascension, pic, stabilisation/rebond, reconstruction).
4. Relier résilience et PCA/PRA (niveau de performance après crise) et expliquer la résolution après 2007-2010 (intervention des autorités quand le plan échoue).
5. Lister les éléments de base d’un PCA : cartographie processus/flux et criticité, besoins de continuité (D.I.C.T.E.S.), ressources critiques (5 catégories), impacts/coûts et validation DMIA.
6. Décrire la démarche de gestion du risque « tous risques » : identifier, analyser (fréquence/gravité), évaluer (contexte/enjeux), traiter (probabilité et impacts).
7. Caractériser un risque avec menace/scénario, vulnérabilités et impacts, puis relier menace+vulnérabilités à la probabilité (ou plausibilité).
8. Expliquer comment déterminer le déclenchement par seuils (surveillance normale, vigilance accrue, anticipation, déclenchement plans d’urgence) et pourquoi il faut agir sans perdre du temps à la réflexion le jour J.
9. Décrire l’activation PCA : logigrammes d’opérations, timing prévisionnel, rôle de la cellule de crise, et lien avec disponibilité de toutes les ressources y compris financières.
10. Pour le PRA, définir et relier PRMA/PDMA, DMIA/DMRP, puis définir RPO et RTO et expliquer la planification (sites de secours, sauvegardes/réplication, reprise opérationnelle, tests de basculement).
11. Décrire la séquence après sinistre/cyberattaque : analyse dommages, restauration données, redémarrage progressif avec priorisation et tests avant remise en production, puis contrôle/renforcement.
12. Expliquer la fin de crise et les risques : clôture entre actions correctives et achèvement, retour à la normale progressif avec indicateurs, et mémorisation/enseignements post-crise (mise à jour plans).