Un plan de continuité d’activité, ou PCA, décrit les dispositions prévues pour maintenir les activités essentielles d’une organisation après un sinistre ou une perturbation majeure. Il peut s’agir d’une panne informatique, d’une indisponibilité des locaux, d’une cyberattaque, d’une rupture d’approvisionnement, d’un incendie, d’une inondation, d’une épidémie ou de l’absence simultanée de plusieurs collaborateurs.
Dans une PME, la continuité repose souvent sur quelques personnes clés, des outils numériques partagés et un nombre limité de fournisseurs. Cette concentration facilite parfois la gestion quotidienne, mais elle augmente aussi les conséquences d’une défaillance. Le PCA sert à réduire le temps de désorganisation et à donner un cadre de décision lorsque les procédures habituelles ne suffisent plus.
Le document ne cherche pas à prévoir tous les événements possibles. Il doit plutôt répondre à quatre questions concrètes :
Le PCA ne remplace pas les dispositifs de sécurité, de sauvegarde ou de prévention des risques. Il les complète en organisant la réponse lorsque l’incident survient malgré les mesures préventives.
La première étape consiste à déterminer ce que le plan couvre. Une PME peut commencer par son activité principale, ses locaux, ses systèmes d’information, ses principaux fournisseurs et les fonctions indispensables à la relation client. Le périmètre doit être suffisamment large pour être utile, mais assez précis pour rester exploitable.
Il faut également fixer un objectif réaliste. Une entreprise ne pourra pas toujours fonctionner normalement après un sinistre. Elle peut en revanche définir un mode dégradé : traiter les commandes urgentes, assurer la paie, répondre aux demandes prioritaires, sécuriser les données et maintenir une communication minimale.
Le dirigeant ou la personne chargée du projet peut rédiger une courte note de cadrage précisant :
Cette note évite que le projet se transforme en inventaire théorique de tous les risques. Elle permet aussi d’obtenir l’implication des responsables de fonctions qui devront fournir des informations opérationnelles.
L’analyse d’impact sur l’activité, souvent appelée BIA pour Business Impact Analysis, permet de hiérarchiser les activités selon les conséquences de leur interruption. Elle ne consiste pas uniquement à demander quelle activité est la plus importante. Il faut mesurer les effets d’un arrêt après plusieurs périodes : quelques heures, une journée, plusieurs jours ou une semaine.
Pour chaque activité, il est utile de documenter :
Le délai maximal acceptable avant reprise est souvent désigné par l’acronyme RTO, pour Recovery Time Objective. L’objectif de point de reprise, ou RPO, indique quant à lui la quantité de données que l’organisation accepte de perdre entre la dernière sauvegarde disponible et l’incident. Ces notions doivent être traduites en termes compréhensibles pour les équipes.
Un tableau simple peut suffire au démarrage :
| Activité | Conséquence après 24 heures | Reprise visée | Mode dégradé |
|---|---|---|---|
| Traitement des commandes | Retards et réclamations | Le jour suivant | Priorité aux commandes urgentes |
| Facturation | Décalage de trésorerie | Sous trois jours | Émission des factures prioritaires |
| Support client | Insatisfaction et perte d’informations | Le jour même | Adresse et permanence de secours |
Les délais ne doivent pas être choisis par convenance. Ils doivent découler des engagements pris, du fonctionnement réel de l’entreprise et des conséquences d’une interruption.
Après avoir identifié les activités prioritaires, il faut recenser les événements susceptibles de les interrompre. L’objectif n’est pas de calculer une probabilité précise pour chaque menace, mais de repérer les scénarios qui justifient une préparation.
La cartographie peut couvrir notamment :
Pour chaque scénario, l’équipe peut évaluer la gravité, la vraisemblance et le niveau de préparation existant. Une matrice simple avec trois niveaux, faible, moyen et élevé, est souvent plus utile qu’un système très détaillé que personne ne met à jour.
Les dépendances indirectes méritent une attention particulière. Un logiciel peut dépendre d’un fournisseur d’hébergement, d’une connexion Internet et d’un compte administrateur détenu par une seule personne. Un produit peut dépendre d’un fournisseur unique, d’un transporteur et d’un local de stockage. Le PCA doit faire apparaître ces chaînes de dépendance.
La stratégie de continuité précise comment maintenir ou rétablir les activités prioritaires. Elle doit tenir compte des moyens financiers et humains d’une PME. Il n’est pas nécessaire de reproduire intégralement l’organisation habituelle si une solution temporaire permet de maintenir le service essentiel.
Plusieurs options peuvent être combinées :
La stratégie doit préciser ses conditions d’activation. Par exemple, le travail à distance peut être prévu en cas d’indisponibilité des locaux, tandis qu’une procédure manuelle peut s’appliquer lorsque le logiciel métier est inaccessible. Chaque solution doit être associée à un responsable, à des moyens et à une estimation du délai de mise en œuvre.
Pour les données personnelles, les mesures retenues doivent rester compatibles avec le Règlement général sur la protection des données. La Commission nationale de l’informatique et des libertés recommande notamment de protéger les accès, de limiter les habilitations et de prévoir des sauvegardes adaptées. Le PCA ne doit donc pas conduire à copier des fichiers sensibles sur des supports non maîtrisés.
Un PCA volumineux peut être difficile à utiliser pendant une crise. Il est préférable de prévoir un document général et des fiches réflexes courtes, chacune consacrée à un scénario ou à une fonction.
Une fiche efficace indique :
Les coordonnées doivent être conservées dans un format accessible même lorsque le système informatique principal est indisponible. Une version imprimée protégée et une copie numérique accessible depuis un environnement distinct peuvent être prévues, en veillant à la confidentialité des informations.
Le plan doit aussi éviter de reposer sur une seule personne. Chaque rôle critique doit disposer d’un remplaçant identifié et suffisamment formé. Cette règle concerne notamment l’administration des outils, la relation avec les fournisseurs, la gestion de la paie, la communication client et la décision d’arrêt ou de reprise.
Une communication désordonnée peut aggraver les conséquences d’un incident. Le PCA doit donc distinguer les communications internes, les échanges avec les clients et fournisseurs, ainsi que les éventuelles notifications imposées par la nature de l’événement.
Le dispositif peut préciser :
Les messages doivent rester factuels. Il faut indiquer ce qui est connu, ce qui ne l’est pas encore, les conséquences prévues pour les interlocuteurs et la prochaine échéance d’information. Une PME peut préparer à l’avance des modèles de message pour signaler une indisponibilité temporaire, un retard de traitement ou une reprise partielle.
En cas d’incident touchant des données personnelles, la conduite à tenir doit être examinée avec le référent compétent et, si nécessaire, avec la CNIL. Le PCA doit prévoir la conservation des éléments utiles à l’analyse de l’incident, sans diffuser d’informations personnelles au-delà des besoins de gestion.
Un plan ne fonctionne que si les responsabilités sont comprises avant l’incident. La direction doit désigner un responsable de coordination, mais celui-ci ne peut pas tout faire. Les rôles peuvent être répartis entre la décision, les opérations, les systèmes d’information, les ressources humaines, la communication et le suivi administratif.
Une matrice de responsabilités peut répondre aux questions suivantes :
Il est utile de prévoir plusieurs niveaux de réponse. Un incident limité peut être traité par le responsable concerné. Un événement affectant plusieurs fonctions peut nécessiter l’activation complète du PCA. Les critères doivent être concrets : impossibilité d’accéder aux locaux, perte d’un outil critique, indisponibilité d’une équipe ou dépassement du délai de reprise défini dans l’analyse d’impact.
Un PCA non testé reste une hypothèse. Les exercices permettent de vérifier les coordonnées, les accès, les sauvegardes, les délais et la compréhension des rôles. Ils peuvent commencer par une simulation sur table, durant laquelle les participants décrivent les décisions qu’ils prendraient face à un scénario donné.
D’autres tests sont plus opérationnels :
Un exercice doit être préparé sans créer de confusion avec un incident réel. Les participants doivent savoir qu’il s’agit d’une simulation, tout en respectant un scénario suffisamment réaliste pour faire apparaître les difficultés. À la fin, un compte rendu précise les écarts constatés, les actions correctives, les responsables et les échéances.
Le plan doit être révisé après un exercice, un incident, un changement de logiciel, un déménagement, une évolution de l’équipe, une modification importante d’un contrat ou l’arrivée d’un nouveau fournisseur critique. Une revue périodique permet également de détecter les coordonnées obsolètes et les procédures devenues impraticables.
Une PME peut construire son plan sans attendre de disposer d’une documentation parfaite. Une démarche progressive en quatre cycles facilite la mise en œuvre :
Pour suivre l’avancement, quelques indicateurs opérationnels peuvent être utilisés : part des activités prioritaires documentées, pourcentage de rôles disposant d’un remplaçant, date du dernier test de restauration, taux de coordonnées vérifiées et nombre d’actions correctives en retard.
Ces indicateurs ne mesurent pas toute la résilience d’une entreprise. Ils permettent cependant de repérer les lacunes les plus visibles et de maintenir le sujet dans le temps. Le PCA doit rester un outil de gestion, régulièrement utilisé et compris, plutôt qu’un document rangé après sa validation.
Le PCA couvre la continuité de l’ensemble des activités : personnes, locaux, fournisseurs, communications, équipements et systèmes d’information. Le plan de reprise informatique se concentre sur le rétablissement des applications, des infrastructures et des données. Il constitue généralement une partie du PCA.
Non. Il est préférable de commencer par les activités prioritaires et les scénarios qui auraient les conséquences les plus fortes. Le plan pourra être élargi après un premier exercice et une analyse des écarts.
Aucun format unique ne convient à toutes les PME. Le document doit être assez détaillé pour guider l’action, mais les fiches utilisées pendant l’incident doivent rester courtes et directement accessibles. La qualité du test compte davantage que le volume du document.
La direction doit valider les priorités, les moyens et les responsabilités. Les responsables des fonctions concernées doivent ensuite vérifier que les procédures sont réalisables. Pour les sujets techniques, juridiques ou liés aux données personnelles, l’avis d’un professionnel compétent peut être nécessaire.
Non. Il organise la continuité après une perturbation, mais il ne remplace pas les mesures de cybersécurité, la sensibilisation des utilisateurs, la gestion des accès, la sauvegarde et les procédures de signalement. L’Agence nationale de la sécurité des systèmes d’information publie des recommandations qui peuvent compléter le volet informatique du plan.