Qu’est-ce que le BIA ? Son importance pour la continuité d’activité

L’acronyme BIA correspond à Business Impact Analysis, que l’on traduit en français par bilan d’impact sur l’activité (ou analyse d’impact sur l’activité).

Le BIA fait partie des activités d’un système de management de la continuité d’activité (SMCA). L’ISO 22301:2019 le définit, au paragraphe 3.5 (« Termes et définitions »), comme le processus d’analyse de l’impact d’une perturbation sur l’organisation au fil du temps.

Un BIA analyse les processus métier de l’organisation pour connaître l’impact que produirait un incident qui les interromprait. L’objectif est d’identifier les processus les plus critiques pour l’entreprise.

La continuité d’activité doit se concentrer sur les processus pour lesquels la disponibilité est vitale, c’est-à-dire ceux dont l’interruption pourrait avoir pour l’organisation un impact inacceptable en peu de temps.

Par exemple, le site web d’un vendeur en ligne, qui doit fonctionner 24 h/24 et 7 j/7, n’a pas la même criticité que le service marketing et publicité d’un fabricant de boissons, dont la production de résultats n’est pas continue.

Le BIA porte sur tous les processus de l’entreprise et suit une méthode commune, de façon à pouvoir comparer les résultats et classer les processus par criticité.

Il n’existe pas de méthode unique valable pour toutes les organisations : chacune doit définir la sienne.

Il faut tenir compte des différents types d’impact que peut provoquer l’interruption d’un processus. En voici quelques-uns :

• Impact opérationnel : il empêche d’obtenir le produit ou le résultat du service auquel appartient le processus.
• Impact financier : coûts supplémentaires, pertes de revenus, pénalités, etc.
• Impact sur la réputation : dégradation de l’image de marque faute de pouvoir servir normalement les clients.
• Impact juridique et contractuel : en interrompant un processus donné, l’organisation peut manquer à une exigence légale ou contractuelle, avec des conséquences graves.

Chaque organisation doit fixer les impacts à prendre en compte, ainsi que la manière et les critères de leur évaluation.

Le facteur suivant est le temps. On utilise généralement une échelle de temps pour comparer l’impact sur différentes durées d’interruption. Un processus peut avoir un impact élevé dès la première minute, comme la boutique en ligne citée plus haut, alors que d’autres n’atteindront un impact élevé qu’au bout d’un certain temps, 24 heures voire plusieurs jours.

L’échelle de temps doit elle aussi être définie par chaque organisation. Elle peut comporter plus ou moins de jalons selon le type d’activité.

Les processus qui ont le plus d’impact dans le délai d’interruption le plus court sont les plus critiques pour l’organisation. C’est le résultat que doit produire le BIA. Le tableau suivant montre ce que cela donne dans une entreprise de distribution fictive.

En plus de classer les processus par criticité, le BIA sert à fixer les délais à partir desquels on conçoit ensuite la reprise. L’ISO 22301:2019 utilise les suivants :

• MTPD (période maximale d’interruption tolérable) : le délai au-delà duquel l’impact de ne pas fournir un produit, un service ou une activité devient inacceptable pour l’organisation.
• RTO (Recovery Time Objective, délai de reprise) : le délai dans lequel l’organisation s’engage à reprendre l’activité après l’interruption. Il doit être inférieur à la MTPD, pour qu’un retard de reprise ne conduise pas directement à un impact inacceptable.
• RPO (Recovery Point Objective, perte de données maximale admissible) : le point jusqu’auquel il faut pouvoir restaurer les informations utilisées par l’activité, autrement dit la quantité de données (mesurée en temps) que l’on peut perdre. Dans la pratique, il fixe la fréquence des sauvegardes ou de la réplication.
• MBCO (objectif minimal de continuité d’activité) : le niveau de service minimal que l’organisation juge acceptable pendant l’interruption. Au moment du RTO, il suffit d’atteindre ce minimum ; le retour à 100 % peut venir ensuite.

Ce sont ces délais qui orientent ensuite les stratégies et les plans de reprise. Pour réaliser l’analyse, il existe en outre un guide spécifique, l’ISO/TS 22317, qui donne des lignes directrices pour le bilan d’impact sur l’activité.

Le responsable de la continuité d’activité de l’organisation définit la méthode à utiliser. Elle doit être validée et approuvée par l’instance désignée dans l’organisation comme autorité suprême en matière de continuité d’activité. Il s’agit généralement d’un comité où sont représentés les principaux services et la direction, pour lui donner le poids et la légitimité nécessaires.

Une fois la méthode définie et les processus identifiés, il faut faire participer les services concernés pour recueillir les données ou procéder aux évaluations. Ce sont les services qui exécutent les processus qui connaissent dans le détail les conséquences d’une interruption.

Le résultat du BIA doit être validé et partagé par la direction de l’organisation ou par le comité ou l’instance compétente.

La norme de référence pour la continuité d’activité reste l’ISO 22301:2019, qui est l’édition en vigueur. Le bilan d’impact sur l’activité figure à son paragraphe 8.2, avec l’appréciation des risques.

Ce qui a le plus changé, c’est la pression réglementaire. Dans le secteur financier européen, le règlement (UE) 2022/2554, DORA, applicable depuis le 17 janvier 2025, demande aux entités une analyse d’impact sur l’activité de leur exposition aux perturbations graves, dans le cadre de leur politique de continuité des TIC (article 11). Un BIA réalisé selon l’ISO 22301 couvre une bonne partie de ce travail et sert de point de départ pour les deux.

L’équipe de conseil de GlobalSuite Solutions a une longue expérience de la réalisation de BIA et de la mise en place de plans de continuité d’activité dans des organisations de tous secteurs, de toutes tailles et aux besoins très différents.

Nous vous proposons aussi le logiciel GlobalSuite®, entièrement développé par notre équipe, qui permet de paramétrer votre méthode de BIA, de préparer les questionnaires destinés aux services et de gérer les informations et les résultats obtenus.

Vous voulez voir comment cela fonctionnerait dans votre organisation ? Demandez une démo et nous vous le montrerons.