Plan de continuité d'activité : préparer son entreprise à une crise

Réponse rapide. Un plan de continuité d'activité (PCA) est l'ensemble des mesures qui permettent à une entreprise de maintenir ou de rétablir rapidement ses fonctions essentielles après un choc majeur : cyberattaque, sinistre, défaillance d'un fournisseur clé, départ d'un homme-clé. La méthode, cadrée par la norme ISO 22301, tient en cinq étapes : analyser l'impact des interruptions (BIA), fixer des objectifs de reprise (RTO/RPO), choisir des parades, écrire les procédures, puis tester. Le tout repose sur trois piliers : des sauvegardes éprouvées, une cellule de crise désignée et une réserve de trésorerie. Une PME peut bâtir un PCA utile en quelques semaines.

Les chocs se sont multipliés : rançongiciels, ruptures d'approvisionnement, inondations, pannes d'hébergeur, défaillances en cascade. Pour une PME, l'enjeu n'est pas d'éviter l'imprévu — c'est impossible — mais d'encaisser sans s'arrêter. C'est précisément l'objet du plan de continuité d'activité : organiser à froid ce que l'on n'aura pas le temps de penser à chaud.

Le réflexe courant est de réduire le PCA à l'informatique. C'est une erreur : un PCA couvre l'ensemble des fonctions vitales — production, paie, facturation, relation client, trésorerie — et pas seulement les serveurs. La sauvegarde des données en est une brique, mais une brique parmi d'autres. La bonne approche part des activités essentielles, puis remonte vers les ressources (humaines, informatiques, financières, fournisseurs) dont elles dépendent. Elle complète la démarche de détection des signaux de difficulté : l'un anticipe la crise financière, l'autre la crise opérationnelle.

Le PCA vise le maintien des activités essentielles pendant la crise et leur reprise rapide. Il ne faut pas le confondre avec deux notions voisines :

• le PRA (plan de reprise d'activité) est le volet informatique : restauration des systèmes et des données après sinistre. C'est un sous-ensemble du PCA, pas son équivalent.
• la gestion de crise est la dimension humaine et décisionnelle : qui décide, qui parle, qui fait quoi pendant l'événement. Le PCA l'intègre via la cellule de crise.

La norme internationale de référence est ISO 22301 (« Sécurité et résilience — Systèmes de management de la continuité d'activité »). Elle ne s'impose pas légalement à une PME, mais offre une méthode éprouvée, organisée selon le cycle d'amélioration continue PDCA (planifier, déployer, contrôler, ajuster).

L'analyse d'impact (BIA), le cœur du dispositif#

Le bilan d'impact sur l'activité (Business Impact Analysis) répond à une question : si telle activité s'arrête, combien cela coûte-t-il, et à partir de quand cela devient-il vital ? On y classe les activités par criticité, on chiffre les pertes (chiffre d'affaires perdu, pénalités, perte de clients), et on identifie les ressources indispensables. Sans BIA, un PCA protège au hasard ; avec un BIA, il concentre les moyens là où l'arrêt fait le plus mal.

RTO et RPO : deux chiffres qui structurent tout#

Deux métriques, reconnues par ISO 22301 et par l'ANSSI, donnent le tempo :

• le RTO (Recovery Time Objective) est la durée maximale d'interruption tolérable avant reprise d'une activité. Combien de temps peut-on rester arrêté ?
• le RPO (Recovery Point Objective) est la quantité maximale de données que l'on accepte de perdre, exprimée en temps. L'ANSSI parle de PDMA (perte de données maximale admissible). Une sauvegarde quotidienne implique un RPO de 24 heures : on peut perdre une journée de saisie.

Ces deux chiffres dictent les investissements. Un RPO de quelques minutes impose une réplication continue ; un RPO de 24 heures se contente d'une sauvegarde nocturne. Fixer un RTO et un RPO par activité évite de sur-investir partout ou de sous-protéger l'essentiel.

La règle de sauvegarde 3-2-1 mérite d'être connue de tout dirigeant : trois copies des données, sur deux supports différents, dont une hors site (et idéalement hors ligne, pour résister à un rançongiciel). Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde : c'est une hypothèse. Tester la restauration fait partie du plan. Sur le volet sinistre matériel, l'indemnisation et la comptabilisation se préparent aussi : voyez comment gérer un sinistre majeur.

On documente volontiers les serveurs et les procédures, mais on oublie souvent le nerf de la guerre : l'argent. Pendant une interruption, les charges continuent (salaires, loyers, abonnements) alors que les encaissements s'arrêtent. Un PCA solide intègre donc un volet financier :

1. Une réserve de trésorerie dimensionnée pour tenir la durée du RTO le plus long, charges fixes comprises.
2. Des lignes de crédit confirmées mobilisables sans délai (découvert autorisé, ligne de mobilisation de créances).
3. Un prévisionnel de trésorerie de crise qui simule l'arrêt et chiffre le besoin jour par jour. C'est le prolongement naturel d'un stress test de trésorerie.

Ce volet financier est trop souvent négligé parce qu'il relève d'une autre compétence que l'informatique. C'est pourtant lui qui décide si l'entreprise survit à un arrêt de trois semaines, et c'est exactement là qu'un directeur financier externalisé apporte de la valeur.

Un plan ne vaut que par les personnes qui l'exécutent. La cellule de crise désigne, à froid, qui pilote, qui décide des dépenses exceptionnelles, qui parle aux clients, aux salariés, aux assureurs et aux autorités. Un annuaire de crise (coordonnées à jour, y compris personnelles, accessibles hors du système d'information) évite de chercher un numéro pendant que tout brûle. La communication se prépare : messages types vers les clients et les équipes, porte-parole unique, canaux de secours.

• La TPE de quelques personnes. Pas besoin d'un manuel de 80 pages : une fiche d'une page par activité essentielle (qui, quoi, où sont les sauvegardes, qui appeler) suffit déjà à éviter la paralysie.
• L'entreprise 100 % cloud. Le risque se déplace vers l'hébergeur et les accès : que se passe-t-il si le fournisseur SaaS tombe, ou si le compte administrateur est compromis ? Sauvegardes exportées et double authentification deviennent vitales.
• L'activité saisonnière. Le coût d'une interruption dépend du moment : un arrêt en pleine saison haute est dévastateur. Le PCA doit pondérer les RTO selon le calendrier.
• La dépendance à une plateforme. Beaucoup d'activités dépendent d'un acteur unique (marketplace, processeur de paiement). Le PCA prévoit un canal de secours et des conditions générales lues.

• Un PCA jamais testé est une fiction. Programmez au moins un exercice par an : restauration de sauvegarde, simulation de cellule de crise.
• Les sauvegardes en ligne ne suffisent plus. Face aux rançongiciels, une copie hors ligne ou immuable est indispensable.
• Mettez le plan à jour. Un changement de logiciel, de fournisseur ou de dirigeant rend vite un PCA obsolète.
• Vérifiez vos contrats d'assurance. La garantie pertes d'exploitation et la cyber-assurance se lisent avant la crise, pas pendant.

Un cabinet client, une dizaine de salariés, a subi un rançongiciel un lundi matin : tout chiffré, y compris la première sauvegarde, connectée au réseau. Ils n'avaient pas de copie hors ligne. La reprise a pris onze jours et coûté bien plus que la simple rançon évitée : production à l'arrêt, clients inquiets, paie décalée. Nous les avons ensuite aidés à bâtir un PCA minimal mais réel : sauvegardes 3-2-1 avec copie hors ligne hebdomadaire testée, fiches de continuité par activité, et surtout une réserve de trésorerie correspondant à trois semaines de charges fixes. Un an plus tard, une panne d'hébergeur les a arrêtés deux jours : grâce au plan, ils ont basculé sur leur procédure de repli sans paniquer.

La vraie valeur d'un PCA ne se mesure pas le jour où on l'écrit, mais le jour où on en a besoin. Et ce jour-là, ce qui sauve n'est jamais le document : c'est le fait d'avoir réfléchi avant. Construire un PCA, c'est s'offrir le luxe de penser à froid.

Conseil Hayot Expertise. Commencez petit mais commencez. Listez vos trois activités les plus critiques, fixez pour chacune un temps d'arrêt tolérable, vérifiez que vos sauvegardes se restaurent réellement, et chiffrez la trésorerie nécessaire pour tenir un arrêt. Nous vous aidons à articuler le volet financier — prévisionnel de trésorerie de crise — avec la sécurisation de vos systèmes et de vos données.