Continuité, résilience, reprise : trois mots, trois métiers

Trois mots que tout le monde confond

Dans la plupart des organisations, trois mots circulent comme s'ils étaient interchangeables : continuité, reprise, résilience. Ils ne le sont pas, et la confusion coûte cher — parce qu'elle conduit à confier à une équipe technique un problème qui relève de la direction générale.

Continuité d'activité

ISO 22300 définit la continuité comme la capacité d'une organisation à poursuivre la fourniture de ses produits et services à un niveau acceptable prédéfini, malgré une perturbation.

Trois mots méritent d'être relus dans cette définition :

• Capacité. Pas un document, pas un classeur, pas un outil. Une organisation qui possède trois cents pages de plans et aucune personne capable de les appliquer un dimanche soir n'a pas de capacité de continuité.
• Niveau acceptable prédéfini. La continuité ne promet pas le retour à la normale. Elle promet un niveau dégradé, connu et accepté à l'avance. Ce niveau porte un nom : le MBCO.
• Produits et services. Le point de départ n'est pas le processus interne mais ce que l'organisation livre à l'extérieur.

Reprise informatique

La reprise informatique — le PRA, ou disaster recovery — décrit la restauration des systèmes d'information sur une infrastructure de secours. C'est une composante, souvent la plus coûteuse, jamais l'ensemble.

Une organisation dont les serveurs redémarrent en quatre heures mais dont les équipes n'ont ni locaux, ni accès, ni procédure dégradée ne reprend pas son activité. Elle regarde ses serveurs tourner.

Résilience

La résilience englobe la continuité et y ajoute deux dimensions : l'adaptation — la capacité à fonctionner durablement dans un environnement qui a changé — et l'apprentissage — la capacité à sortir d'un choc plus solide qu'on n'y est entré.

Une organisation continue quand elle survit à la panne. Elle est résiliente quand la panne suivante l'atteint moins.

Pourquoi la distinction est opérationnelle

La distinction n'est pas académique : elle détermine qui est responsable.

Confier la continuité à l'informatique revient à demander à un service de répondre à une question qu'il n'a pas le mandat de trancher. C'est l'erreur de gouvernance la plus fréquente, et elle se voit immédiatement en audit : les RTO ont été fixés par ceux qui devaient les tenir, et non par ceux qui devaient les subir.