guide_afnor_sur_la_mise_en_oeuvre_dun_plan_de_continuit_des_activits_pca.pdf

7/30/2019 Guide_Afnor_sur_la_mise_en_oeuvre_dun_plan_de_continuit_des_activits_PCA.pdf

1/36

Plan

deContinuit

dActivit

pourles

PME/PMI

delargionCentre

OOOuuutttiiilll hmmmttthhooodddooolllooogggiiiqqquuueee


2/36

Outi l mthodologique - PCA rgion Centre - 2010

Avertissement

Ce document n'a pas t soumis la procdure d'homologation et ne peut tre en aucun cas

assimilunenormefranaise.Sonutilisationestvolontaire.

Leprsentdocumentreprsenteleconsensusobtenuparungrouped'acteursindividuelsoucollectifs

etidentifisdanscedocument.Cedocument,prsent,rdigetmisenpointl'initiatived'AFNOR,

constitueuneuvrecollectiveausensduCodedelaPropritIntellectuelle.

Leprsentdocumentbnficiede laprotectiondesdispositionsduLivre1erduCodede laProprit

Intellectuellerelatiflapropritlittraireetartistique.Toutereproductionsousquelqueformeque

cesoitestunecontrefaonettoutecontrefaonestundlit.

Page2sur36


3/36


Avantpropos

En rponse lappel projets de la DIRECCTE (ex DRIRE) du Centre

PME/PMI et TIC : Vers Un Systme Informatique Efficace, Fiable Et

Scuris, ladlgation rgionaleCentredAFNORproposeune action

collectivequi apourobjetde valideretdediffuserauxPME/PMIdu

Centredesbonnespratiquesetdesmthodespour llaborationdunPlan de Continuit dActivit (PCA) dans le cadre de sinistres ou de

situationsrisques.

Cetteactioncollectivesinscritdansunelogiquedaccompagnementde

lamiseenuvredetechnologiesdinformationetdecommunication

au sein des entreprises et plus particulirement des petites et

moyennesorganisations.

L'ensemble de ce projet est prsent et expliqu l'occasion du

colloquergionalle30septembre2010Orlans.

Page3sur36


4/36


REMERCIEMENTS

Laralisationdecedocumentatrendupossiblegrcel'investissementetla

collaborationdespersonnessuivantes:

ClineHUAULT

(succdantPierreHAUTEVILLE)DIRECCTECentre

JeanFranoisLEGENDRE

NicolasSCUTO

FrdricSOLBES

AFNORNormalisation

PascalJAY

AnneYOUFAFNORrgionCentre

GeorgesNOVO

JeanMarcRIGAULTARTENAYCEREALS

PierreGELINEAU AUBRILA

EmmanuelFILLON FILLONTECHNOLOGIES

OlgaGUITTON MEDEFCENTRE

PatrickALBERT

(succdant MarieLaureCAZAURAN)ORYALIS

JulieJEUFFRAULT

AdelineMEREY

IsabelleMERLET

SAINTMICHELCONTRES

LaetitiaDAUXERRE

PhilippeMERCIERTPC45

BrunoHamon PrsidentdelaplateformePCAnationale

Page4sur36


5/36


SOMMAIRE

1. LECONTEXTEDUPCA .........................................................................................81.1. Domained'application .................................................................................... 81.2. Contextenormatif........................................................................................... 91.3. Termesetdfinitions .................................................................................... 111.4. EnjeuxduPCApourlesPME/PMI.................................................................. 13

2. METHODESETPROCEDURES ............................................................................142.1. Planifierl'tudedudiagnostic ....................................................................... 162.2. Formaliserlardactionduprojet .................................................................. 17

3. REDIGERLEPCA................................................................................................21 3.1. Lediagnostic ................................................................................................. 213.2. L'Analysedescarts ...................................................................................... 253.3. Formaliserlesexigences................................................................................ 273.4. LePCAoprationnel...................................................................................... 29

4. RECOMMANDATIONS ......................................................................................35

Page5sur36


6/36


TABLESDESILLUSTRATIONS

Modle1:Exempledorganisationdu"PCARfrentieldeBonnesPratiques".....................9Modle2:Modledecycledeviedesdonnes .................................................................... 14Modle3:Etapesdudiagnostic ........................................................................................... 15Modle4:Lepland'actionstratgique ................................................................................ 19Modle5:Lepland'actionoprationnel .............................................................................. 19Modle6:Reprsentationdupland'action.......................................................................... 20Modle7:AnalysedescartsEtudedecas:informatiquedegestion................................25Modle8:Exempledematricedescarts ............................................................................ 26Modle9:Desenjeuxauxexigences .................................................................................... 27Modle10:InteractionentrelaDSIetlesservicespourlesenjeuxdepriorit1 ................... 28Modle11:QuandactiverunPCA? ..................................................................................... 29Modle12:Processusdegestiond'unPCA........................................................................... 30

Page6sur36


7/36


DOCUMENTSDEREFERENCE

Documentspublics

Rfrentiel de Bonnes Pratiques BP Z74700, Fvrier 2007 (en cours de rvision

pourfin2010).

ConventionDIRECCTE(exDRIRE)rgionCentre.

Documentsderfrencedisponiblesl'achat

BS259991:2006Codeofpracticeforbusinesscontinuitymanagement

BS259992:2007"Specificationforbusinesscontinuitymanagement".

ISOPAS

22399:2007

"Scurit

socitale

Lignes

directrices

pour

tre

prpar

un

incidentetgestiondecontinuitoprationnelle".

ISO90012008"SystmesdemanagementdelaqualitExigences".

ISO/CEIsrie27000"Technologiesdel'informationTechniquesdescurit".

ISO/CEI Guide 73:2009 "Management du risque Vocabulaire Principes

directeurspourl'utilisationdanslesnormes".

ISO/IEC27001pourlesPMEConseilspratiques(GuideISO/IEC ISBN9789267

205175)

Page7sur36


8/36


1. LECONTEXTEDUPCA

1.1. Domained'application

Les grandesentreprises sont lespremires avoirpris consciencede limportancede

savoirgrerdessituationsrisquesparrapportleursystmedinformationparlefait

mme de leur type d'organisation dite "tendue" (filiales et partenaires multiples

ncessitantdeschangesd'informationfrquentsdansunenvironnementtendantvers

l'interoprabilit).

Dans ce cadre conomique ncessitant une information globalise, l'ensemble des

acteurs

conomiques

de

la

chaine

de

valeur

est

incit,

voire

oblig

par

un

donneur

d'ordre,dployerdesmoyensdecommunicationcompatiblessouspeined'treisol.

Mais l'augmentation de la multiplicit et l'ouverture des supports d'changes

d'informations rend de fait ces organisations beaucoup plus sensibles des

dysfonctionnements(exemples:pannedusystmeinformatique,piratagedesdonnes)

et impose la mise en place d'une stratgie de continuit d'activit (d'aucun parle de

rsilience).

Enjeu d'une vritable politique dans les grandes entreprises (secteur aronautique,

automobile, agroalimentaire), un tel dploiement de moyens est difficilement

envisageable pour une PME/PMI structurellement autonome o les moyens humains

sontcomptsetvisentprioritairementlaproductivitcourtterme.

Aussi,unaccompagnementestncessairepour les aiderenvisagerdeslmentsde

rponsesoprationnelsopposerdes risquespotentiels. La continuitdactivitest

issuedeleursrflexionsstratgiques.

Acejour,sans incitationdaucunesorte, lesPME/PMI ignorentpour laplupart lintrt

de mettre en place et de maintenir oprationnel un PCA. Plus gnralement, elles

engagentpeude rflexion sur leurs risques enmatirede systmesdinformation au

sens large du terme. La dmarche en matire de scurit de linformation et de

protectiondesdonnesdelentrepriseestengnralembryonnaireetnonstructureen

termesdebnfices/cots/impacts. Ilconvientpar les financementspublicsdaiderun

petit nombre de PME/PMI montrer lexemple pour favoriser un effet

dentranement.

Laction collective prsente par AFNOR propose, sur la base dune exprimentation

auprs de 10 PME/PMI de la rgion Centre, dlaborer, de valider puis de mettre

dispositiondetouteslesPME/PMIdelargionCentreunemthodedeformalisationet

dvaluationdesPlansdeContinuitdesActivits(PCA).

Cette mthode de formalisation pourra inspirer d'autres groupements d'intrts

conomiquesrgionauxenFrance.

Page8sur36


9/36


1.2. Contextenormatif

Jusqucejour,ilnexistaitaucunenormeindiquantleniveaudefiabilitentrelanalyse

desbesoinsutilisateurset lasolutionchoisieetimplmenteparuneorganisationpour

rtablir son activit aprs un sinistre. Un premier travail a t ralis en 2006, mais

certainesdesescaractristiquessontdifficilement intgrablesen l'tat,principalement

parce qu'elles s'adressent de grandes entreprises tendues (exemple : services et

production dcentraliss, outils informatiques surmesure, soustraitance tendue,

filialesl'tranger).

Leschmaciaprsillustrenanmoinsdemanireclairecequepourraittreleprocessus

degestionorganisationnelled'unPCAauseind'uneorganisationprofessionnelle.

Modle1:Exempledorganisationdu"PCARfrentieldeBonnesPratiques"

CCOOPPIILLComit de Pilotage

(Communication,

Stratgie, Logistique,

Ressources Humaines)

PPCCOOPlan de continuit

des Oprations

PPCCIITTPlan de Continuit / Reprise

Informatique & Tlcoms

Informatique & Tlcoms MoyensMoyens de production Transverses

Ainsi, si l'on souhaite impliquer l'ensemble des entreprises, d'ailleurs, pour certaines,

partenairesdecesgrandsgroupes, ilconvientd'adapterce rfrentielauxbesoinsdespetitesetmoyennesentreprises.

Page9sur36


10/36


Un Plande Continuit dActivitpourra couvrir, par exemple,des aspects touchant

lenvironnementmmedelimplantationdunoudeplusieurssites,lorganisationdans

sa globalit, un dpartement, aux processus mtiers, une application, en cas

dindisponibilitprovisoireoupermanenteduserviceauxutilisateurs.

Page10sur36


11/36


1.3. Termesetdfinitions

Encomplmentdesdocumentsnormatifsrfrencspage7,voiciquelquestermeset

expressionutilissdanscedocument.

CCO CelluledeCriseOprationnelle

CODIRGroupe ComitdeDirectionGroupe

DMIA DureMaximaled'InterruptionAdmissible

PCA PlandeContinuitd'Activit

PCIT PlandeContinuitInformatiqueetTlcommunication.

PCO PlandeContinuitOprationnel

PDMA PertedeDonnesMaximaleAdmissible

PRA PlandeReprisedActivit

Cycledeviedesdonnes(voir2Mthodesetprocdures)

1.Productiondesdonnes

Cette tape comprend toutes les activits lies la planification, la collecte, au

traitement, lanalyse et lamaintenancedesdonnesdans le cadreduprojetde

rechercheinitial.Parmicesactivitsfigurent:

laslectionduneconceptiondtude,

llaborationdoutilspourlacollectedesdonnes,

lacollecteoulacrationdesdonnes,

laprparation,lavrificationetlavalidationdesdonnes,

lanalysedesdonnes,

lasauvegardedesversionsdedonnes,

laprparationetlebalisagedesmtadonnes.

2.Diffusiondesdonnes

Cette tape comprend la prparation des donnes pour lutilisation par autrui et

ltablissement de procdures et de mthodes pour la diffusion des donnes. Afin

dtre

comprhensibles,

les

donnes

doivent

tre

accompagnes

de

mtadonnes

descriptives accessibles dans des formats rpandus. Les donnes doivent galement

Page11sur36


12/36


tredisponiblesdansdesformatscommunmentutiliss,etdesmcanismesdoivent

tre en place pour assurer les niveaux appropris daccs, selon les restrictions

relativeslascurit,laprotectiondesrenseignementspersonnelsoulaproprit

intellectuelle.

3.Gestionlongtermedesdonnes

Cettetapecomprend lesactivitsdesoutien laconservationquiassurent laccs

longtermeauxdonnesderecherche.Letravaildedveloppementdescollectionsde

donnesestessentielcettetapeetfaitpartieintgrantedelagestiondelaccsaux

donnesde recherche.Laccs long termene serapossiblequavec le concoursde

sainespratiquesdeconservation.Parmicesactivitsfigurentlvaluation,laslection,

ledptou labsorptiondesdonnesdansundpt, lassurancede lauthenticit, la

gestion de la collecte des donnes et des mtadonnes, lentretien des mdias

numriquesetlamigrationdesdonnesversdenouveauxmdiasnumriques.

4.Recyclagedesdonnes

Onreconnatdeplusenplus lesdonnescommeunatoutprcieuxpour larecherche

dont la valeur dpasse lobjectif vis initialement. Cette tape comprend des

mcanismes et des activits qui permettent la dcouverte et la rutilisation desdonnes. Quil s'agisse de rpter des constatations antrieures ou de traiter des

questionsderecherchenonexplores, lesoutilsdedcouvertesontncessairespour

repreretrcuprerlesdonnespertinentes.Lerecyclagedesdonnes,quicomprend

la cration de nouvelles donnes en combinant les donnes appropries provenant

dunevaritdefichiersexistants,estenvoie dmergercommenouvellemthode.Le

recyclage des donnes gnre galement de nouveaux produits de donnes qui

nexistaientpasauparavant.Parmilesactivitsdecettetapefigurentllaborationet

le soutien des outils de recherche qui utilisent des mtadonnes normalises,

lharmonisation du codage des donnes pour des variables prcises, la cration de

nouvellesmthodes

de

combinaison

des

donnes,

ainsi

que

lagnration

etlarcolte

denouvellescollectionsdedonnes.

Page12sur36


13/36


1.4. EnjeuxduPCApourlesPME/PMI

Auquotidien,lentrepriseestamenegrerdessituationsimprvuespouvantavoirdes

consquences sur son activit et entraner des pertes dexploitation importantes. Les

causespeuventtremultipleset les impactspeuventtrefinancirement lourds;de la

perted'informationsdegestionjusqu'auremplacementdusystmeinformatiqueencas

dedestructiondelocaux.

Tous ces vnements peuvent provoquer au mieux des complications d'exploitation

(mineuressiellessontcirconscritesunservice),aupireunemiseendangerde laviedel'entreprise.

Ainsi,lentreprisedoitseconcentrersurlacontinuitdechacundesesservicesdontles

contraintes verticales (par mtier) et transversales (transfert d'informations) sont

susceptiblesd'tremieuxapprhendes.

Pourcefaire, lesentreprisespeuventmettreenuvreunPlandeContinuitdActivit

(PCA).

Lobjectifdelaprsenteactioncollectiveestdaiderles10entreprisespartenaires:

valider par consensus une mthode consistant formaliser les besoins

justifiantunPlandeContinuitdactivit, valideruneprocduredetestdeleurPlandeContinuitdActivit,

enfindiffusertrslargementl'outilmthodologiquevalidenvued'inciterles

autresPME/PMIformaliserleurproprePCAsurunebaserobuste.

A notre connaissance, aucune action daccompagnement dentreprises similaire na

adresslesPCAcejour.

Lespagessuivantesproposentdesmthodesetprocduresoprationnelles.

Page13sur36


14/36


2. METHODESETPROCEDURES

Ladfinitiond'unPCAtrouvesonsensdanslamesureoleprincipedemiseenuvre

rpondcertainesconditionsfondamentales.

LeprincipeduPCArpondunobjectifclair

Enmatiredesystmed'information,lePCAapourobjectifd'assurerlarsiliencedes

donnesencasdecrisemajeure.

Le modle ciaprs illustre le cycle de vie des donnes. Divis en quatre tapes

principales,cemodlepeutfourniruncadrepratiquepourlafutureanalysedescarts(voir3.2).

Modle2:Modledecycledeviedesdonnes

(Lesdfinitionsdestermesduschmasontau1.3)

LeprincipeduPCAestacceptable

Lamiseenuvred'unPCAdoittreunmoyend'actionapriorijugbnfiqueparet

pourlespersonnelsquidoiventlemettreenuvre,quellequesoitl'originedela

demande(interne

ou

externe)

;

Cetteconvictiondoittrepartagepourunemiseenuvre ralisable.

Page14sur36


15/36


LeprincipeduPCAestralisable

La mise en uvre du PCA rclame la mobilisation et le contrle de ressources

improductives.Ainsi,ilconvientdes'assurerquelePCA:

estcorrectementdimensionn,

esttenujour,

peuttreexcut toutmomentavec lesmoyensprvus initialement (valid

paruntest).

Ainsi, pour dcider d'engager un projet de PCA sur la base d'objectifs clairs, la

connaissancedel'entrepriseestfondamentale:

auniveaudesgrandesorientationsdesastratgieinterne(ex:nouveauxoutils

d'information avec risques de d'erreurs) et externe (ex : adaptation aux

procduresd'unnouveauclientmajeur);

etdesonhistorique(crisespasses,potentiellementrenouvelables).

Modle3:Etapesdudiagnostic

Page15sur36


16/36


2.1. Planifierl'tudedudiagnostic

Lapremireapprocheproposeconsisteplanifierl'tudeafindedfinirlecontexteet

laporteduprogrammeconduisantl'objectiffix.

Pourmenerbienunetelletude,ilestconseill:

denommerlapersonnepilotedel'tude(ex:responsableQualit,responsable

dusystmed'information);

de nommer le rdacteur de l'tude (cette tche peut tre soustraite un

consultantouunstagiaireadhoc);

et de lui attribuer des ressources suffisantes (en temps, en matriel, en

collaborateurs).

Lobjectif de ce chapitre est de proposer un plan rdactionnel afin de dcrire les

conditionsoprationnellesdegestiondelacrise.

Page16sur36


17/36


2.2. Formaliserlardactionduprojet

2.2.1. Lesciblesduprojet

L'laborationduPCApassencessairementparunensemblededocumentsdcrivant

lesdiffrentesphases ainsique les ressources (humaines,matrielles et financires)

affectesauPCA.Ilconvientaupralabledes'assurer:

quelesinformationsproviennentdesourcesfiables

quelesdmonstrationsetargumentsadressentlesbonsvalideurs.

A cetgard, lesdiffrents contenusdesdocumentsdoivent clairement spcifier leur

destinataire.Adfaut,lerdacteurduprojetrisquedeperdredevuelesobjectifsetles

enjeux.

Lemodledetableausuivantestunexempled'outilutiliserlorsdelaprparationdu

projetPCAensynthtisantl'originedessourcesetlavalidation.

Chaquecasepourraventuellementidentifierson(ses)responsable(s).

Exemple:Validation(notVal)etSource(notSour)selonlethmedescontributions

Cible

Thmedescontributions

Direction

Gnrale

Responsable

deservice

Personnel

oprationnel

I. ObjectifgnralduPCA Val Sour SourII. Ressourcesncessaires Val SourIII. Pilotageduprojet ValIV. Pland'action Val SourV. Diagnosticdel'organisation Val SourVI. Enjeuxcritiques Val SourVII. Exigencesfonctionnelles Val/Sour SourVIII. Exprimentation Val SourIX. Reportingd'aprscrise Val SourX. Misejourdesexigences Val/Sour Sour

Page17sur36


18/36


2.2.2. Lesenjeuxrdactionnelsdefond

Autrementappels"lesfondamentaux",ilappartientauresponsableduprojet:

deprouverl'utilitduPCAavecundiagnosticetdesexigencesfonctionnelles

bnfiques,acceptablesetralisables;

de dmontrer un gain de moyens (de temps, de financement) pour le

comitdepilotagequidevraimplmenterlefuturPCA.

2.2.3. Lesenjeuxrdactionnelsdeforme

Eu gard au fait que ce guide de bonnes pratiques s'adresse aux PME/PMI, il est

convenudeprivilgier:

laformerdactionnellepourdcrirelamthodologie;

laformefonctionnelle(tableaux,logigramme,matrices)pourillustrer

lesobjectifs

lesenjeuxcritiquesetleursexigencesprocduralesoufonctionnelles.

2.2.4. Lepland'action

Ilvisestructurerleplandetravail.Larussiteduprojetdpendengrandepartiedela

clartdesonarticulation.

Ilconvientdedistinguernouveauxlacontraintedereprsentationdupland'action.

Lepland'action stratgique adress ladirection gnraledoit tre synthtique et

proposerlesthmesstratgiques.

Page18sur36


19/36


Modle4:Lepland'actionstratgique

EnjeuxstratgiquesduprojetPCA Objectifs Echances JourHomme I. EnjeuX

II. EnjeuY

III. EnjeuZ

Par ailleurs, le plan d'action adress aux personnels oprationnels sera dtaill et

viendraencomplmentdupland'actionstratgique.

Ilexplicitechaquetcheenprcisantsonobjectif,sadureetlesmoyensdisponibles

sonaccomplissement.

Modle5:Lepland'actionoprationnel

Tche

NTitre Objectifsdelatche Responsable Contributeurs Interactions JH

1Echance

T1.

T2.

T3.

En complment de cette reprsentation du plan d'action oprationnel, il peut tre

pertinent de recourir des outils du type diagramme de GANTT, facilitant la

visualisationdansletempsdestchesintermdiairesduprojet.

1JourHomme

Page19sur36


20/36


Modle6:Reprsentationdupland'action

Danscemodle,

chaquetche(T)asonresponsable;

chaquetcheestalimenteparlescontributions(T2.1)surdesthmesprcis;

chaquetchefaitl'objetd'unrapportdiscutenrunion(bulledansle

tableau);

puislerapportestvalidetditenVersionFinale(VF);

Avantagesdeceprocessus:

Mutualisationdesconnaissances,

Dlaideproductionpluscourtquedanslecasd'uncontributeurunique.

Limites:

DisponibilitrequisedescontributeursventuellementmalaisedansunePMI,

Niveaudecomptenceexig(enanalyseetrdactionnelle)descontributeurs.

L'ensembledecesprrequisrclameunbudgetqu'ilconvientdedfiniraupralable

(exprimparexempleenJourHomme).

Cesprrequisrevtentuneimportancedterminantepourledroulementduprojet,

quellequesoitladcisionfinale(actiond'implmenterlePCAounon).

VF

MmeZ

MM.

MmeB

VFM.Y

M.X

S12S11S10S9S8S7S6S5S4S3S2S1

JuilletJuinMaiLeader

T3. Rdaction du PCA Preuve du conce t

T4. Test

T2.2. Accs aux locaux

T2.1. Informati ue de estion

Validation

T2.4. Ru ture technolo i ue

T2.3. D rdation matrielle

T1. Gestion du ro et PCA

T2. Ra ort Dia nostic et en eux criti ues

Tches

Page20sur36


21/36


3. REDIGER

LE

PCA

Danslamesureolesexigencessontvalidesparladirectiongnraledel'entreprise,

lardactionduPCApeuttremiseenuvre.

La rdaction et la gestion dun PCA peuvent savrer lourde et dune productivit

incertaine. Toutefois, la bonne conduite de l'tude pralable (le diagnostic) est

dterminantepourcettenouvellephase.

3.1. Lediagnostic

Les thmatiques suivantes permettent au rdacteur d'organiser son rapport de

diagnostic en commenant par une photographie des vnements jugs comme

potentiellementcritiquesdanslavied'uneentreprise.

Cesthmespeuventtreordonnssousformedequestionnairepuisfairel'objetd'un

rdactionnelplusconsistant.

Lamthode retenue consiste avoirune approchepar les enjeux globaux auxquelspeuttreconfrontel'entreprise,etnonpardesincidentspotentiellementinhrents

chaqueservicedansl'entreprise.

La premirejustification de ce choix rside dans la problmatique du PCA dans la

mesureoiladresseleSystmed'Information.Ils'agitavanttoutd'uneproblmatique

transversalepouruneorganisation.

Lasecondejustificationestd'ordreempirique.UnPCAestunmoyendefairefaceune

situation de crise. Or les situations de crise deviennent critiques pour l'entreprise

lorsqu'ellesatteignentplusieurs services (ex :gestiondescommandes gestiondes

livraisons gestiondelafacturation gestiondelatrsorerie).

Ainsi, les pages suivantes dclinent une liste des enjeux (non exhaustifs) pour

l'entreprise.

Cettelistedoitpermettred'identifieretdeprioriserlesdiffrentsenjeux.

Page21sur36


22/36


3.1.1. Lesvnementsdjsurvenusdanslentreprise

a.Yatildjeudescrises?Commentsesontellesmatrialises?b.Quellesenonttlescausesprincipales?

dfaillancehumaine(absence,manquement,incapacit)

dfaillancematrielle(dprdation,dfautderessources)

interneset/ouexternes(rupturetechnologiquemajeure2),

c.Quelsenonttlesimpacts: pertedeCA,

pertedUnitduvreUO (ex:Journe.Homme,Mois.Homme)

retardsdelivraison,

pnalits, nonremisedunappeldoffrequicomprometlobtentiondunnouveau

march,

retardsdereportingauxactionnaires,

dficitdimagedemarque

d.Dessolutionsontellesdjtenvisages/implmentes? Deslocaux/sitesdereplis?

Unappareildeproductiondesecours?

Desvhiculesdisponibles?

ressentieninternee.Lef. Quellessontlesautresconsidrations/apriori?

3.1.2. Lagrancedel'entreprise

a. LagestionausensIntuituPersonae(capital,sarpartition,lefaitquellefassepartied'ungroupe,sanotoritcommerciale,sonsavoirfairetechnique,les

avancesdesquipesdanstelouteldomainedelarecherche,lastratgiede

sonquipedirigeante)

Lagestionoprationnelb. le(dlgationdepouvoir,obligationderendrecompte)

2Casd'implmentationd'unoutilindustrielinnovantavecunimpactmajeursurdesprocessusmtier.

Page22sur36


23/36


3.1.3. Lascuritdesdonnes

a.Quigrelesaccsauxdonnes?b.Quelssontlesniveauxd'accsauxdonnes?c. Osontstockslescodesd'accs?d. Lescodesd'accssontilsfiables?

3.1.4. Lesinfrastructuresmtier

e.Quelssontlenombreetlalocalisationdessites:sige,centresadministratifsetcentresdeproductions?

f. Quelleestlarpartitiondesmtiers?g.Desactivitssontellessoustraites?

3.1.5. L'infrastructureinformatique

a.Commentlagestiondessauvegardesdesdonnessopretelle?b. Lamaintenancematrieletlogicielsopretelleparinfogrance?c. ExisteilunrseauLANentrelesdiffrentssites?d.Quelestloprateurtlcom?e.Desanalysesderisquesontellesdjtmenes?

f. LaDSIdisposetelledeplusd'unsited'exploitationinformatique?g.Quidisposedesaccsauxinfrastructures?

3.1.6. Leslmentsmtiers

a.Existetildesobligationscontractuellescrantdesexigencesdecontinuit(pnalitsderetard,)?

b.Existetildesobligationslgalesourglementaires(siteclass,autoritdetutelles,scuritcivile,)?

c. Existetildeshabitudesdetravail/usagesparticuliers/obligationsdepartenariataveccertainsclients?

d.Quellessontlesactivits/mtiersidentifiscommestratgiques?e.Quelssontlespartiesintresses(clients /fournisseurs BtoB,BtoC)et

marchsidentifiscommestratgiques?

Page23sur36


24/36


3.1.7. L'information

Lentrepriseestelleaccompagnedans:

a. LasensibilisationllaborationdunPCA(4niveauxsontdistinguer): Lecadragedesobjectifs

Ladfinitiondesmoyens

L'implmentationetlestests

LeMCO(MaintienenConditionsOprationnelles)?

b. LauditdunPCAexistant?Sioui,quelniveau?c. LlaborationdunPCIT*?d. LauditdunPCIT?e. Laformation(activation,celluledegestiondecrise,outilsduPCA,etc.)?

Page24sur36


25/36


3.2. L'Analysedescarts

L'analysedescarts estune techniqueutilepourdterminer lesmesures prendre

pourpasserd'untatcourantuntatsouhait.Cettetechniquepermetdemettreen

exergue les lacunes dans un processus. Cette phase est importante pour formaliser

(dduireetvaluer)lesexigencesduPCA.

Ades finsdeclart, ilestproposunoutild'analyse susceptibled'aider formaliser

l'analysedescartsfondsurleslmentsmtiersduchapitreprcdent.

Modle7:AnalysedescartsEtudedecas:informatiquedegestion

Cycledeviedes

donnes Production Exploitation

GestionLong

TermeRecyclage

1. Etatactuel Obligationscontractuelles

sousunformat

prcis

EDI Archivagedes

donnessur

serveurinterne

pendant10ans

Compressiondes

donnesprincipales

Suppressiondes

donnesnoncritiques

2. Indicateursdeperformance

Saisieentempsrel

Diffusionauxclientsaprs20h,

chaquejourouvr

+rcap.mensuelle

Sauvegardehoraire

automatiquesous

formatcompress

Lesdonnesprincipalesrestent

accessiblestous

3. Etatdecrise PanneduSIdegestion

Modedegestion

manuellesur

supportpapier.

Archivagedes

documentsde

gestion

Possibleselon

l'isolementdu

systme

4. Niveaud'cart

Importancedel'enjeu ;Elev Modr Faible

Ecartconstat ;Elev Modr Faible

1. Lesprocduresdechangementdesupportsnesontpasconnues.

2. Lesclientsontavertisaucasparcasdelapanneetduretarddetraitementde

leurscommandes

3. Lessupportspapierdesecoursnesontpasstocksaummeendroitousont

obsoltes.

Commentairedescarts

Page25sur36


26/36


L'espace "Commentaire des carts" est complter synthtiquement et

consciencieusement.

Ilestd'ailleursconseilldemarquercettetapeendiscutantcediagnostic lorsd'une

runion.Cedbatsera l'occasiondefairevalider lavisiondurdacteurde l'tudeparlesresponsablesdeservice.

Cettevalidationdudiagnosticpeuttresynthtiseparexemplesousformematricielle

(voir ciaprs), permettant ainsi de rvler l'importance d'un enjeu en situation de

crise.

Modle8:Exempledematricedescarts

+ Formationdespersonnelsfrontoffice PannedelInformatique

degestion Rupturetechnologique

Importance

delenjeu Incendie

Formationdespersonnelsbackoffice Dprdation Accsauxdonnes

Arrtdesserveurs

-

- Ecart(normal / crise) +

Page26sur36


27/36


3.3. Formaliserlesexigences

Le tableauciaprspermetdeprsenter lesenjeuxprioritairesmisenexerguepar la

matricedescartsexposedanslechapitreprcdent.

Le rdacteur de l'tude peut proposer de formaliser tous les enjeux ou d'adresser

uniquement certains enjeux selon leur niveau de priorit (ex : lister les enjeux

priorit1).

Entouttatdecause,ilconvientdevalidercettetapeenrunionafin:

devrifierencommunlapertinencedesenjeux,

devrifierl'acceptabilitetleralismedesexigences.

Modle9:Desenjeuxauxexigences

Niveaudepriorit LesenjeuxprioritairespourlaDSI Services

Exigences(selonlesobjectifs)

X

Rupturetechnologiquelorsde

l'implmentation

d'unnouveaulogiciel

d'unnouveauprocessus

Mthodes

Productionet

Ingnierie

Logistique

Dvelopperle

partenariatavec

lefournisseur

Formerun

rfrentinterne

X

Pannedel'informatique

degestioncommerciale

degestiondesachats

delaR&D

Administration des

ventesetdesachats

R&D

XL'accsauxlocauxsensiblesn'estpas

scuris

Sallesserveurs

R&D

Limiterlesaccspar

unetechnologietype

X

Lintgritdesdonnescritiquesde

lentreprisesn'estpasassure

Systmedinformation

ProjetsR&D/Gestion

YRespecterunengagementcontractuel(ex.:

obligationmanantd'unclient,d'une

assurance,d'unconsortium)

Directioncommerciale

Administration des

ventes Juridique

Y

Commentetquoicommuniquerlorsd'un

tatdecrise:

eninterne(employs)

etenexterne(verslesclients,

fournisseurs,lesmarchs)

Directiongnrale

DirectionMarketing/

Communication

Page27sur36


28/36


Danslamesureolesenjeuxprioritairesetleursexigencesonttvalids,ilpeuttre

pertinentd'illustrerlesinteractionsentrelaDSIetlesautresservicesimpacts.

Le modle suivant permet de visualiser un premier schma d'intervention selon les

vnementscritiques.

Cetexempledemodlepeuttredimensionnselontouttyped'organisation.

LeslmentsspcifisdevronttreexplicitsdanslecorpsduPCAetfairel'objetd'une

communicationformelleavecunedocumentationaccessible.

Modle10:InteractionentrelaDSIetlesservicespourlesenjeuxdepriorit1

Services EnjeuA EnjeuB EnjeuCI. R&D Elev Elev

II. MthodesProductionLogistique Elev

III. Achats Elev

IV. Ventes

V. GestionFinancire Elev

VI. Marketing/Communication Elev

DSI

Page28sur36


29/36


3.4. LePCAoprationnel

Le chapitre prcdent a permis d'apprhender les exigences fonctionnelles selon le

niveaudesenjeuxcritiquespourl'organisation.

Laphaseprsenteapourobjectifd'aiderdterminer leprocessusoprationneldu

PCA.

3.4.1. Lagestiondecrise

Onappellegestiondecrise lapriodequidbuteavec lasurvenancedunealerte

valuecommemajeure,jusqulaprisededcisiondactiverounonlePCA.

LePCAestuneorganisationalternativequelentrepriseapplique,letempsderemdier

lvnement perturbateur lorigine de lalerte, quand lorganisation par temps

calmenestplusoprante.

Modle11:QuandactiverunPCA?

Lamiseenuvred'unPCAadressantparessenceplusieursentitsd'uneorganisation,

il convient galement de dcrire et d'illustrer les interactions entre les diffrents

servicesimpliqusauniveaudcisionneletoprationnel.

Page29sur36


30/36


Modle12:Processusdegestiond'unPCA

Donnes

dentreActions Donnesdesortie Responsables

Anomalieou

panne

Fiche

dvaluation

dvnement

Fiche

dvaluation

complte

CCOrunie

Proposition

dactiverlePCA

Dcision

dactiverlePCA

Procduresdesecours(PCOet

PCIT)

Etatdel'activit

restaure

Testde

restaurationdes

conditions

initialesOK

Rapportde

restauration

AlerteauService

Informatique

Fichedvaluation

complte

Rsolutionduproblme

ConvocationCCO

MessageauCODIR

Etatdeslieux

Solutionsderepli

Propositiondactiverle

PCA

Coordinateur/rapporteur

delaCCOnomm

ConvocationduCODIR

DcisiondactiverlePCA

Activitrestaure

maintenuetitreprovisoire.

ReportingauCODIR

Rapportderestauration

Rapportdeclture

Personneayant

dtect

lanomalie

Responsable

deservice

Responsable

deservice

Responsable

PCA

CCO

CCO

Coordinateur

rapporteur

delaCCO

DG

CCOOprationnels

CCO

CCO

CODIR/CCO

Enregistreret

analyser

Activit

compromise?

RunirlaCCO

AlerterleCODIR

Non

Oui

Nommerle

coordinateur/rapporteurdelaCCO

RunirleCODIRgroupe

ExcutiondesPCOetPCIT

Proposerle

PCA?

Non

Oui

Confirmerle

PCA?

Non

Oui

Contrlequotidiendelefficacit

desPCOetPCITetdavancement

duretourauxconditionsinitiales

Restaurationprennedes

conditionsinitiales

Dtecterunvnement

perturbateur

Non

Misejouretclturedu

PCA

Page30sur36


31/36


3.4.2. Letempscalme

Onappelletempscalmeletempsdurantlequellentrepriseestmmedeconduiresesactivitsdanssesconditionsnominales.

Ilpeutsemblerpertinentdemettreprofitcetempspourmettreenplaceungroupe

depilotageadhocafindediagnostiquer lesrisquesdecrisepour lentreprise(risques

internesouexternes).

Durant le temps calme, lentreprise peut avoir faire face des vnements

perturbateursdetoutenature,quonappellera"alertes".Lentreprisesaitfaireface

laplupartdesalertesetmaintenirsesactivitsmalgrcesvnementsperturbateurs.

Toutefois, il peut se produire certains vnements critiques (i.e. majeurs et

exceptionnels)contrelesquelslentreprisenestpasprparefairefaceefficacement

(i.e. maintenir durablement ses activits vitales, en labsence de dispositionsparticulires).Les itemssuivantsontfournistitre indicatifafind'aider lardaction

dudiagnostiquepartempscalme.

Item1/Par lepass, quelsont t les vnementscritiques quiauraientncessitunPCA?

a. UnepolitiquedePCAouquivalentatelledjtmiseenuvre?

b.Selonquelprogramme?

c. Avecquelsrsultats(bnfices/pertes,avantages/limites)?

Item2/QuanddclencherlePCA?Il se peut que la gestion de crise aboutisse dcider de ne pas activer le PCA. Le

dclenchement du PCA nest pas forcment la rponse ncessaire et suffisante la

survenancedunvnementcritique.On doit prendre par exemple en considration les circonstances particulires au

momentdu sinistre,etnotamment le carnetde commande, la chargede travail, les

niveauxdestock,etc.

Deplus, ilpeuttrepertinentdeprendreencompteunvnementcritiqueextrieur

qui impacte lentreprise,parexempledans lecasduneentreprisetendue3.Dansce

cas,ilpeuttrepertinentdenvisagerdemutualiserunPCAafindeprserveraumieux

lachaineconomiquepourlintrtdetoussesacteurs.

3 Forme d'organisation privilgiant des partenariats forts permettant de mutualiser les connaissances et les

comptencesutilisesnotammentpourlaconduitedegrandsprojetsouledveloppementdeproduits.

Page31sur36


32/36


Item3/Lorganisationdelentreprisea.Quelestl'organigrammedupilotageduPCA?b.Existetiluneentitencharge:

Delorganisation? Delaqualit? Duparcinformatiqueetdusystmedinformation?

c.Quelssontsesliensstructurelsventuelsauseind'uneorganisationconomiquetendue(partenaires,soustraitants,filiales)?

Page32sur36


33/36


3.4.3. L'alertemajeure

Onappellealertemajeure toutvnementcritiquesusceptiblede remettreencause

lactivit,etauquellentreprisenesaitpasfairefaceaveclorganisationetlesmoyens

normauxquisontlessienspartempscalme.

Unvnementconstitueunealertemajeuredans lamesureo l'enjeuadressat

pralablementqualifien"Priorit1"(voir3.2"L'Analysedescarts").

A dfaut d'avoir pris en compte un vnement constituant une alerte majeure, il

convientnouveaud'estimer l'impactdecetvnementsur l'activitde l'entreprise

(processusitratif).

Proposition1:afind'estimeraumieuxunniveaud'impact,lepilote

du PCA peut procder une tude de cas typique fonde sur un

scnarioprobableouunvnementpass.

Proposition2:dans lecasd'unPCAavecdes impactsextrieurs, il

peut tre envisag d'inclure dans le groupe de pilotage un

reprsentantdequelquespartenairescls.

Item4/LentreprisedevradciderdecequecouvriralePCA(implicationdelaDG)a. Quelsactivits/mtiers(ex :grance)/processus/fonctionsserontpris

encompte?

b. Contrequel(s)type(s)desinistrelePCAprmuniratillentreprise?c. LePCArpondratilunsinistresurunsiteouplusieurssites?d. Selon les diffrents enjeux couverts par un PCA, quelles seront les

modalits de reprise mesurables (ex: en temps, en matire, en Unit

duvre)acceptablesetralisablesparrapport:

aux contraintes internes (ex: ressourcesmobilisables, immobilisationdematriel,dlocalisation),

aux obligations externes (ex: approvisionnement, chancesfinancires,)?

Page33sur36


34/36


e. Quelssontlesmoyensetsolutionsretenusenfonctiondecesmodalitsdereprises?

f. QuelsrsultatsmtiersserontdenouveauatteintsT0+24h,T0+48h,?g. Quels personnels seront mobiliss par la cellule de crise et quels

personnelsserontdastreinte?

h. Quelsinvestissementslentrepriseestelleprtefaire(dontlaformation)?i. Quellestratgiedereprise,interneouexterne?

3.4.4. Leretourautempscalme

On appelle retour au temps calme la phase de fin de crise durant laquelle

lentrepriseretrouvesonniveaud'activitpriodiquedanslecadredesonorganisation

originelle.Cetempsestmisprofitpour:

Evalueretanalyserlesconsquencesdelacrise,

EvaluerlaperformancedelamiseenuvreduPCA,

EtmettrejourlePCA(ajustementventueldesmoyens,desprocduresetde

lagestiondelacrise)

Ils'agit icid'accompagner l'volutionfonctionnelleetorganisationnellede l'entreprise

parunprocessus itratifauniveaude lapriorisationdesenjeuxetde ladfinitiondes

exigences.

Cettephaseest importantepuisqu'unepriodedecrisepeutgalementdonner lieu

de nouvelles orientations stratgiques pour l'organisation (ex : partenariat, fusion /

acquisition, prise de participation, cession d'une entit) impactant en profondeur

l'ensembledusystmed'informationdel'organisation.

Parailleurs,unephasedecrisepeuts'avrerbnfiquesil'organisationconsidre:

quelesvnementscritiquesonttparticulirementbiengrs,

etquedespointsd'amliorationsesontavrsbnfiques.

Page34sur36


35/36


4. RECOMMANDATIONS

Cesrecommandationscompltentlesactionsprescritesdanslestexteslistsenpage7,

notammentleRfrentieldeBonnespratiquesBPZ74700.

R1. ExploitationduPCA

Excellentmoyenpourgrerlesphasescritiquesdelavied'uneorganisation,ilpeuttre

galement pertinent d'envisager dans quelle mesure le PCA peut tre exploit auxbnficesdudveloppementdel'activitdel'entreprise.

Ainsi,certainsservicessontsusceptiblesdebnficierdelavalorisationduPCA:

La Direction Gnrale afin de renforcer les liens (voire de raliser des

conomies d'chelle) au sein d'un consortium (gestion conjointe d'une

plateformed'changevirtuelle);

LeMarketingetlacommunicationafindevaloriserlaqualitdel'organisation

del'entrepriseauprsdesespartenairesGrandsComptes;

Le service Commercial comme argument de confiance vers les clientsmajeurs.

R2. Gestiondocumentaire

Uneinformationinterneindividualisesursupportinformatiqueetphysiquepeuttre

envisage.Cetteinformationdoittreaccessibleettenuejour.

R3. Impactsfinanciers

Une situation de crise impactant gravement le systme d'information peut

compromettre certainesprocdures, notamment les rglements automatiss (payes,

primesd'assurances).

UneprocduredesecourspeuttreprvuedanslePCA.

R4. Impactsjuridiques(droitdesaffaires)

Certains clients peuvent souhaiter tre assurs du maintien de leur cycle

d'approvisionnement.Ainsi, lefournisseurpeuttreobligd'ajouterdanssescontrats

Page35sur36


36/36


commerciauxdansunpremiertempsuneclausedclarativefaisanttatdel'existence

d'unPCA.

Dans lamesureodenombreusespratiquesenmatiredecontinuitd'activitsontmisesenplaceauniveauinternationalsousl'impulsiondel'ouverturedesmarchs,du

dveloppementdumodedel'entreprisetendueetdelapressionconomique,iln'est

pasexcluqu'unetellepratiquesegnralise.

Si tel est le cas,onpeut envisagerque certainsoprateurs en viennent exigerun

rglement de certification, en d'autres termes la ncessit pour le fournisseur de

prouver officiellement l'existence et la viabilit d'un PCA via un processus d'audit

ralisparunorganismecertificateuraccrdit.

R5. Enfin, la PME/PMI dispose de ressources limites. Il convient donc de mesurer

l'applicabilit

et

le

bnfice

du

PCA

afin

qu'il

conserve

une

relle

plusvalue

pour

l'organisation.