Norme ISO 22301 relative à la continuité des activités
La norme ISO 22301 est la norme internationale relative à la gestion de la continuité des activités, et elle pose une question à laquelle la plupart des entreprises n’ont jamais répondu honnêtement : si votre site principal, votre fournisseur clé ou votre application critique venait à tomber en panne demain, savez-vous réellement ce qui se passerait ensuite ? Pas en théorie, mais de manière concrète, par écrit et après avoir effectué des tests. C’est autour de cela que s’articule la norme : un système de gestion permettant de maintenir l’activité en cas de perturbation et de se rétablir selon un scénario que vous avez réellement mis en pratique.
Ce que cela implique concrètement
La norme ISO 22301 n’est pas un plan que l’on rédige une seule fois. Elle nécessite une analyse d’impact sur l’activité qui identifie les processus les plus critiques et le temps d’indisponibilité que chacun d’entre eux peut tolérer, une évaluation des risques qui examine les scénarios réalistes de perturbation de ces processus, des stratégies et des plans de continuité pour les processus critiques, ainsi qu’un programme de tests et d’exercices permettant de vérifier que les plans fonctionnent dans des conditions proches de la réalité. À cela s’ajoute le système de gestion lui-même : l’engagement de la direction, des rôles bien définis, des objectifs documentés, ainsi qu’un cycle d’audits internes et de revues de direction qui empêche l’ensemble du dispositif de s’essouffler.
Comment je m’y prends
Je commence généralement par l’analyse d’impact sur l’activité, car tout le reste dépend de la justesse de cette analyse. Tant que vous ne savez pas quels processus sont véritablement critiques et quels sont réellement leurs objectifs de temps de reprise, vos plans de continuité ne sont que des hypothèses. À partir de là, je vous aide à élaborer des plans que votre équipe sera réellement capable de mettre en œuvre sous pression — non pas des classeurs remplis de formulations génériques, mais des procédures spécifiques, attribuées et testées. Nous organisons ensuite des exercices : au minimum des simulations sur table, et des simulations plus réalistes lorsque cela s’avère pertinent, afin que les lacunes apparaissent lors d’un exercice plutôt que lors d’une panne réelle.
Si l’objectif est la certification, je vous aide à élaborer la documentation du système de gestion attendue par un auditeur — politique, périmètre, objectifs, comptes rendus d’audit interne, revue de direction — et à vous préparer à l’audit de certification proprement dit. Si la certification n’est pas votre objectif et que vous souhaitez simplement disposer d’un programme de continuité capable de tenir le coup en cas de problème, nous mettons en place ce programme avec la même rigueur, sans pour autant viser l’obtention d’un certificat.
À qui s'adresse ce document ?
Les entreprises dont les clients ou les autorités de régulation exigent la preuve de la continuité d’activité, les organisations qui ont frôlé un incident et ne souhaitent pas que cela se reproduise, ainsi que toute personne dont le « plan » actuel est un document que personne n’a ouvert depuis sa rédaction.
Vous souhaitez savoir dans quelle mesure votre organisation est réellement exposée ? Contactez-moi et nous discuterons ensemble de la marche à suivre.