Qu’est-ce qu’un plan ou système de management de la continuité d’activité (SMCA) ?
Toute organisation est exposée à des incidents pouvant provoquer un arrêt de son activité et constituer un obstacle à la continuité de l’entreprise. D’où la nécessité d’établir des plans comportant des actions de réponse permettant de maîtriser ces événements et leurs effets grâce à un plan ou système de management de la continuité d’activité.
En quoi la mise en place d’un système de management de la continuité d’activité aide-t-elle notre organisation ?
Disposer d’un système de management de la continuité d’activité permet à l’organisation d’avoir la capacité de survivre à tous les événements susceptibles d’avoir un impact négatif et de mettre en péril la continuité de notre activité : pandémies, cyberattaques, incendies, tremblements de terre, inondations, etc.
Comment élaborer un système de management de la continuité d’activité ?
Comme cadre d’action commun pour mettre en place et maintenir un système de management de la continuité d’activité, il existe la norme ISO 22301, élaborée et publiée par l’Organisation internationale de normalisation (ISO). Étapes ou phases principales de la mise en œuvre :
- Déterminer le périmètre : consiste à identifier les processus métier de l’organisation que nous voulons voir pris en compte dans le SMCA.
- Réaliser une analyse d’impact sur l’activité (BIA, de l’anglais Business Impact Analysis) de chaque processus du périmètre, afin de déterminer la criticité de chacun. Elle comprend les aspects suivants :
- la détermination de la criticité : par l’étude des différents types d’impact (opérationnel, financier, légal, réputationnel, etc.) qu’aurait l’interruption du processus métier au fil du temps ;
- les besoins en temps et en ressources nécessaires à la continuité de l’activité et au retour à la normale : ressources humaines, infrastructures, fournisseurs, services, machines, technologies employées, temps de reprise, durée maximale tolérable d’interruption du service, niveaux minimaux de reprise du service, etc.
- Réaliser une analyse des risques, consistant à :
- déterminer les menaces possibles sur les actifs auxquelles l’organisation est exposée ;
- déterminer le niveau de risque de chaque menace, en évaluant sa probabilité de survenance et l’impact qu’elle causerait si elle se produisait. Un risque élevé doit indiquer que la continuité d’activité pour cet actif nous préoccupe ;
- établir un plan de traitement des risques, consistant à mettre en place des contrôles, généralement préventifs, qui aident à réduire la probabilité de survenance des menaces.
- À partir des résultats de l’analyse des risques, identifier les scénarios de crise possibles et établir la stratégie de reprise pour chacun d’eux.
- Créer et documenter des plans détaillés de réponse et de reprise face aux scénarios critiques identifiés, incluant les étapes à suivre depuis la communication de l’incident jusqu’au retour à la normale. Leur objectif est d’éviter l’absence de décision ou la prise de décisions improvisées susceptibles d’aggraver la situation ou de la rendre irréversible.
- Exécuter des tests et exercices des plans de réponse et de reprise, afin de vérifier qu’ils fonctionnent réellement et qu’ils sont adéquats. Des rapports seront réalisés pour recueillir les résultats obtenus et les incidents survenus.
- Réaliser des revues et audits de notre système de gestion afin de garantir sa maintenance, sa mise à jour et l’établissement de mesures correctives. Nous obtiendrons ainsi son amélioration continue.
- Sensibilisation : consiste à mettre en œuvre les mesures qui favorisent la sensibilisation du personnel en matière de continuité d’activité et la connaissance des plans établis.
Enfin, avec la mise en place d’un Système de Management de la Continuité d’Activité, et quel que soit le secteur ou la taille, toute organisation pourra être préparée à faire face à un incident de sécurité susceptible d’affecter le développement de ses activités, en lui apportant une sécurité et une réactivité accrues à toute éventualité. Chez GlobalSuite Solutions, nous offrons l’aide et les conseils nécessaires à la mise en œuvre d’un plan de continuité d’activité et à l’obtention de sa certification. De plus, nous disposons du logiciel GlobalSuite®, entièrement développé par notre équipe, qui permet la mise en œuvre, la gestion et le maintien de toutes les exigences imposées par la norme ISO 22301 dans tous les types d’organisations et de secteurs.
