Plan de continuité d’activité : 6 étapes essentielles pour le construire
Plan de continuité d’activité : 6 étapes essentielles pour le construire
Un plan de continuité d’activité n’est pas un document de sécurité informatique. C’est un document de direction générale qui répond à une question simple : si votre organisation perd demain matin l’accès à ses systèmes, ses locaux ou ses équipes clés, que continue-t-elle à faire, comment, et pendant combien de temps ?
La plupart des organisations qui affirment en disposer possèdent en réalité un plan de reprise informatique. La distinction n’est pas sémantique : elle détermine si le document servira à quelque chose le jour où il faudra l’ouvrir.
Cet article décrit la méthode complète, étape par étape, avec les délais réalistes de chacune et les erreurs qui font perdre le plus de temps.
Table des matières
Ce qu’est réellement un plan de continuité
Le plan de continuité d’activité organise le maintien des activités essentielles pendant une perturbation majeure, quelle qu’en soit la cause : cyberattaque, incendie, indisponibilité massive du personnel, défaillance d’un fournisseur unique.
Sa caractéristique la plus mal comprise est qu’il accepte le mode dégradé comme un état de fonctionnement légitime. Si vos commandes peuvent être saisies sur papier pendant trois jours, c’est une solution de continuité parfaitement valable. L’objectif n’est pas de fonctionner normalement, mais de ne pas s’arrêter.
Cette logique le distingue du plan de reprise, qui vise le retour à la normale technique. Nous avons détaillé cette distinction dans notre article sur la différence entre PCA et PRA.
À retenir
Un plan de continuité couvre les personnes, les locaux, les processus, les fournisseurs, la communication et les systèmes. Le volet informatique n’en est qu’une composante.
La norme internationale de référence en la matière est l’ISO 22301, qui définit les exigences d’un système de management de la continuité d’activité.
Étape 1 — Le cadrage
Durée indicative : 1 à 2 semaines
Le cadrage fixe le périmètre et les règles du jeu. Trois décisions structurent tout ce qui suit.
Le périmètre. Toute l’organisation, ou un site, une filiale, une ligne de production ? Un premier PCA restreint à un périmètre maîtrisable vaut mieux qu’un projet global qui n’aboutit jamais.
Le sponsor. Un PCA sans portage par la direction générale se transforme invariablement en document informatique. Le sponsor doit avoir autorité pour arbitrer entre les métiers.
Les scénarios de référence. On ne construit pas un plan contre tous les risques imaginables, mais contre quelques scénarios types qui couvrent l’essentiel des effets : indisponibilité du système d’information, indisponibilité des locaux, indisponibilité du personnel, défaillance d’un fournisseur critique.
Cette approche par les effets plutôt que par les causes est ce qui rend un plan utilisable : peu importe que le SI soit tombé à cause d’un rançongiciel ou d’une panne électrique, les conséquences métier sont proches.
Étape 2 — L’analyse d’impact sur l’activité
Durée indicative : 3 à 6 semaines
C’est l’étape la plus longue, la plus ingrate, et celle qui détermine la valeur de tout le reste.
L’analyse d’impact — le BIA, pour Business Impact Analysis — identifie les processus critiques et mesure ce que coûte leur interruption. Elle répond à trois questions par processus :
Le résultat est une hiérarchie objective des priorités. Sans elle, la question « que sauve-t-on en premier ? » se règle en réunion de crise, sous pression, avec chaque direction persuadée d’être prioritaire.
Cette étape mérite un traitement à part entière : nous y consacrons un article dédié.
Étape 3 — Le choix des stratégies
Durée indicative : 2 à 3 semaines
Pour chaque processus critique, il faut décider comment le maintenir. Trois familles de réponses existent.
Les stratégies techniques. Infrastructure de secours, sauvegardes restaurables, redondance des liens réseau. C’est ici que se définissent les objectifs de reprise — RTO et RPO — qui doivent impérativement rester inférieurs à la DMIA identifiée à l’étape précédente.
Les stratégies organisationnelles. Site de repli, télétravail généralisé, polyvalence des équipes, doublons sur les fonctions clés.
Les stratégies procédurales. Modes opératoires manuels, formulaires papier, circuits de validation simplifiés. Ce sont souvent les moins coûteuses et les plus négligées.
À retenir
Le coût d’une stratégie croît très vite à mesure que le RTO diminue. Passer de 24 heures à 4 heures peut multiplier le budget par cinq. C’est la DMIA, et elle seule, qui justifie ce niveau d’exigence.
Chaque stratégie retenue doit être chiffrée et validée par la direction. Un plan qui repose sur des moyens jamais budgétés est un plan théorique.
Étape 4 — La rédaction
Durée indicative : 3 à 4 semaines
Le document se structure autour de ce qui sera réellement consulté en situation d’urgence. Un PCA de quatre-vingts pages que personne n’ouvre le jour J n’a aucune valeur.
Les principes qui font la différence :
Le contenu détaillé de chaque section fait l’objet d’un article séparé sur le sommaire type d’un plan de continuité.
Étape 5 — Les tests
Durée indicative : selon le format retenu
Un plan non testé n’est pas un plan. Cette étape n’est pas optionnelle, et elle révèle systématiquement des écarts que la relecture documentaire ne détecte jamais.
Trois formats se succèdent dans une progression de maturité : l’exercice sur table, la simulation en conditions réelles, et le test technique de bascule qui vérifie effectivement les RTO annoncés.
Nous détaillons les formats, leur durée et leur budget dans notre article sur les exercices de crise cyber.
Ce que révèle presque toujours un premier exercice n’est pas d’ordre technique. Ce sont des zones de flou : personne ne sait qui décide d’arrêter la production, les coordonnées de l’assureur datent de trois ans, deux directions se croient chacune responsable de la communication externe.
Étape 6 — Le maintien en condition
Rythme : continu, avec une revue annuelle
Un plan de continuité se périme vite. Les personnes changent de poste, les applications évoluent, les fournisseurs sont remplacés.
Le maintien en condition repose sur trois mécanismes :
C’est cette régularité, davantage que la qualité initiale du document, qui distingue les organisations réellement préparées.
Téléchargez notre checklist de résilience pour évaluer votre dispositif actuel.
Les erreurs les plus fréquentes
Confier le projet à la seule DSI. Le plan produit couvrira les systèmes et ignorera l’activité.
Sauter l’analyse d’impact. On construit alors des stratégies sur des priorités supposées, généralement fausses.
Viser l’exhaustivité. Un plan couvrant tous les processus de l’organisation ne sera jamais terminé. Vingt pour cent des processus concentrent l’essentiel de l’enjeu.
Rédiger sans tester. Le document paraît solide jusqu’au premier exercice.
Traiter le PCA comme un projet. C’est un dispositif permanent. Un plan livré puis oublié est obsolète en dix-huit mois.
Questions fréquentes
Combien de temps prend la construction d’un plan de continuité d’activité ?
Entre trois et six mois pour une organisation de taille intermédiaire, en comptant l’analyse d’impact et un premier exercice. Un périmètre restreint peut être traité plus vite, mais la phase d’analyse reste incompressible.
Un plan de continuité est-il obligatoire ?
Cela dépend de votre secteur et de votre taille. Le règlement DORA l’impose au secteur financier depuis janvier 2025. La directive NIS2 prévoit des obligations de continuité pour environ quinze mille entités françaises, mais sa transposition en droit national n’est pas encore achevée.
Faut-il une certification ISO 22301 ?
Non, sauf exigence contractuelle d’un donneur d’ordre. La norme constitue un cadre méthodologique utile même sans démarche de certification.
Par où commencer quand on part de zéro ?
Par le cadrage puis l’analyse d’impact. La tentation est forte de commencer par les solutions techniques, mais on dimensionne alors sans savoir ce que le métier peut supporter.
Qui doit piloter le projet ?
Un responsable désigné par la direction générale, avec un mandat clair et la capacité de mobiliser les directions métier. Le rattachement à la seule DSI est le principal facteur d’échec.
Pour aller plus loin
Un plan de continuité d’activité utile se reconnaît à trois signes : il a été construit à partir d’une analyse d’impact réelle, il couvre autre chose que l’informatique, et il a été joué au moins une fois.
Les organisations qui échouent ne manquent généralement pas de méthode. Elles ont commencé par la fin — les solutions techniques — sans avoir établi ce qu’elles devaient réellement protéger.
Prenez rendez-vous avec un expert pour un échange de 30 minutes sur votre situation, ou consultez nos autres articles sur la continuité d’activité.
