Retrouvez dans ce livre blanc toutes les bonnes pratiques en matière de gestion des flux documentaires en période de crise
"Le Plan de continuité d’activité, un processus nécessaire à la survie de l’entreprise
Visant à garantir la survie d’une organisation en cas de sinistre grave, le Plan de continuité d’activité (PCA) a fait l’objet de nombreuses réflexions durant la période de crise liée au Covid-19. À quoi sert-il réellement ? Quelles sont les différentes terminologies ? Et surtout, s’agit-il d’une obligation légale ?
Dans son « Guide pour réaliser un Plan de continuité d’activité » publié en 2013, le secrétariat général de la défense et de la sécurité nationale indique que le PCA « a (...) pour objet de décliner la stratégie et l’ensemble des dispositions qui sont prévues pour garantir à une organisation la reprise et la continuité de ses activités à la suite d’un sinistre ou d’un événement perturbant gravement son fonctionnement normal. Il doit permettre à l’organisation de répondre à ses obligations externes (législatives ou réglementaires, contractuelles) ou internes (risque de perte de marché, survie de l’entreprise, image...) et de tenir ses objectifs. »
PCA vs PRA, quelles différences ?
Le PCA intervient pendant une crise, afin de préserver le bon fonctionnement d’une organisation, sans perte de données ni rupture d’exploitation. En cela, il se distingue du PRA (Plan de reprise d’activité), qui consiste en une procédure visant à assurer la reprise des activités, progressivement ou immédiatement à plein régime. Ce document répertorie ainsi les démarches nécessaires à la reconstruction d’un système informatique en cas de crise majeure et se compose de trois tâches majeures : identification des activités critiques, des ressources et des solutions pour le maintien des postes menacés.
Une norme de référence
Au-delà de participer tous deux à la sauvegarde d’une organisation, le PCA et le PRA partagent un autre point commun : ils sont tous les deux normalisés par la norme ISO 22301 (Sécurité et résilience – Systèmes de management de la continuité d’activité). Elle est applicable « à tous les types et toutes les tailles d’organismes » et « spécifie les exigences pour mettre en œuvre, maintenir et améliorer un système de management afin de se protéger contre les perturbations, réduire la vraisemblance de leur survenance, s’y préparer, y répondre et se rétablir lorsqu’elles se produisent ». Parue en mai 2012, cette norme a ainsi remplacé la BS-25999 qui traitait déjà de système de management, sans pour autant détailler les objectifs, les indicateurs et le suivi de la performance qui y sont liés.
Aucune obligation, mais...
Si aujourd’hui la norme ISO 22301 pose un cadre autour du PCA, celui- ci doit également se conformer au Règlement général européen pour la protection des données (RGPD). Des mesures préventives, techniques et organisationnelles doivent, en effet, être mises en place afin d’assurer un niveau de sécurité optimal contre tous les types de risques. Pour autant, la mise en place d’un PCA n’est absolument pas obligatoire d’un point de vue législatif, bien qu’elle soit recommandée afin d’anticiper une éventuelle crise et protéger l’entreprise et les salariés. La responsabilité de l’employeur peut par ailleurs être engagée s’il n’a pas réalisé d’évaluation préalable des risques ni mis en œuvre des mesures de protection des employés. Le PCA n’est donc pas à négliger !"
