Plan de continuité d’activité selon ISO 22301 : l’essentiel
ISO 22301 décrit un système de management de la continuité d'activité. Voici ce qu'il faut en retenir pour passer d'un plan sur étagère à un dispositif qu'on sait mettre en œuvre le jour où l'activité est interrompue.
Un plan, ou un système ?
Beaucoup d’organisations possèdent un plan de continuité d’activité : un document de quelques dizaines de pages, rédigé pour un audit ou un appel d’offres, rangé dans un dossier partagé. Le jour d’un incendie, d’une cyberattaque ou d’une panne majeure, personne ne sait où le trouver ni s’il est à jour. La norme ISO 22301, dans sa version de 2019, répond à ce travers en décrivant non un document mais un système de management : une organisation qui prépare, exerce et améliore sa capacité à continuer ses activités quand surviennent des perturbations.
Ce guide en présente l’essentiel. Il ne remplace pas la lecture de la norme, payante, ni l’accompagnement qu’un projet complet peut exiger.
La structure de la norme
ISO 22301 suit la structure commune des normes de management, celle d’ISO 27001 par exemple, ce qui facilite l’intégration avec d’autres systèmes. Elle comprend dix clauses ; la méthode se concentre dans deux d’entre elles : la planification (clause 6) et le fonctionnement opérationnel (clause 8). Une modification de 2024 a ajouté la prise en compte du changement climatique dans l’analyse du contexte.
- Contexteenjeux, parties intéressées, périmètre
- Directionengagement, politique, rôles
- Analyse d’impactactivités critiques, délais
- Risquesmenaces sur ces activités
- Stratégies et planssolutions, réponse aux incidents
- Exercicestests, retours d’expérience
- Améliorationaudit, revue, actions correctives
L’analyse d’impact sur l’activité : le cœur
Tout commence par la question : qu’est-ce qui, dans l’organisation, ne peut pas s’arrêter, et pendant combien de temps ? L’analyse d’impact sur l’activité (business impact analysis, BIA) la traite activité par activité.
Pour chaque activité, on évalue :
- les conséquences de son interruption au fil du temps : financières, juridiques, de réputation, de sécurité des personnes ;
- la durée maximale d’interruption acceptable, après laquelle les conséquences deviennent inacceptables ;
- l’objectif minimal de reprise : à quel niveau d’activité on redémarre d’abord ;
- les ressources nécessaires : personnes, locaux, applications, données, fournisseurs.
Ce sont les métiers qui décident de ce qui est critique, pas la direction informatique. Une analyse d’impact menée par la seule DSI aboutit à protéger les systèmes, non les activités.
L’appréciation des risques
Une fois les activités critiques identifiées, on examine ce qui pourrait les interrompre : indisponibilité d’un site, perte du système d’information, absence massive de personnel, défaillance d’un fournisseur clé, événement climatique. La norme demande d’évaluer ces risques et de décider du traitement. L’objectif n’est pas de prévoir tous les scénarios, mais de couvrir des types de perte (site, système, personnes, fournisseur) qui regroupent la plupart des cas.
Les stratégies de continuité
Pour chaque type de perte et chaque activité critique, l’organisation choisit une solution proportionnée à l’enjeu.
| Perte | Exemples de solutions |
|---|---|
| Site indisponible | Télétravail préparé, site de repli, répartition des équipes sur plusieurs sites |
| Système d’information | Plan de reprise informatique, sauvegardes testées, bascule vers un site secondaire |
| Personnel indisponible | Polyvalence, suppléances écrites, prestataires de renfort |
| Fournisseur défaillant | Second fournisseur, stock de sécurité, clauses contractuelles de continuité |
Pour la partie informatique, les objectifs de temps et de perte de données acceptables sont détaillés dans notre guide sur le plan de reprise informatique et les objectifs RTO et RPO.
Les plans et la gestion de crise
La norme distingue les plans de réponse aux incidents (qui fait quoi dans les premières heures, qui décide, qui communique) et les plans de continuité par activité (comment redémarrer). Des éléments pratiques font la différence :
- des fiches courtes, lisibles en situation de stress, plutôt qu’un manuel ;
- une cellule de crise identifiée, avec suppléants, lieu de réunion et moyen de communication de secours ;
- les coordonnées à jour de la direction, des équipes, des fournisseurs et des autorités ;
- des plans accessibles même quand le système d’information est indisponible (copie hors ligne, support papier) ;
- une communication préparée : messages types pour les salariés, clients, partenaires, médias.
Les exercices, condition de crédibilité
La norme exige que les plans soient exercés et que les exercices soient évalués. Un plan qu’on n’a jamais appliqué contient des erreurs qu’on ne découvrira qu’en crise. On progresse par paliers :
- Revue sur table L’équipe de crise déroule un scénario et teste les décisions et les circuits d’information.
- Test technique Restauration d’une sauvegarde, bascule vers un site secondaire, activation du télétravail massif.
- Exercice complet Simulation en conditions proches du réel, avec les métiers, sans prévenir de la nature exacte de l’incident.
Chaque exercice se termine par un retour d’expérience écrit : ce qui a fonctionné, ce qui a échoué, les actions décidées, leur propriétaire, leur échéance.
Démarrer sans attendre la certification
Une organisation qui commence peut viser un premier niveau utile en quelques mois : analyse d’impact sur trois à cinq activités critiques, un plan de réponse aux incidents, un exercice sur table. La certification, si elle est visée, vient ensuite, avec un système qui fonctionne et des preuves de son fonctionnement. Notre expertise cybersécurité et conformité décrit comment nous accompagnons ces démarches, la page gouvernance présente l’approche de pilotage, et le diagnostic permet d’identifier vos activités critiques en premier lieu.
Questions fréquentes
La certification ISO 22301 est-elle obligatoire ?
Non, sauf si un contrat ou une réglementation sectorielle l'exige. La norme peut aussi servir de référentiel sans certification.
Quelle différence entre plan de continuité et plan de reprise informatique ?
Le plan de continuité d'activité couvre l'ensemble de l'organisation : personnes, sites, fournisseurs, informatique. Le plan de reprise informatique en est un volet, centré sur les systèmes d'information.
Qu'est-ce que l'analyse d'impact sur l'activité ?
C'est l'étude qui identifie les activités critiques, mesure les conséquences d'une interruption dans le temps, et fixe les délais de reprise et les ressources nécessaires.
À quelle fréquence tester le plan ?
La norme exige des exercices planifiés, sans fixer de fréquence unique. En pratique, au moins un exercice par an, et après tout changement significatif de l'organisation ou des systèmes.