Cas : le RTO que personne n'avait testé
La situation
Un assureur de taille moyenne déclare un RTO de 4 heures pour sa plateforme de gestion des sinistres. Le chiffre figure dans le BIA depuis cinq ans, il est repris dans le rapport annuel au régulateur, et personne ne l'a jamais contesté.
Le service informatique confirme : la bascule vers le site de secours est automatisée, elle prend environ 90 minutes en conditions de test.
L'exercice
Un exercice de bascule est organisé un mardi à 14 heures, en conditions aussi réalistes que l'organisation peut le supporter. Chronologie constatée :
| Heure | Événement | Cumul |
|---|---|---|
| 14 h 00 | Panne simulée déclarée | 0 min |
| 14 h 18 | Supervision confirme l'indisponibilité totale | 18 min |
| 14 h 41 | Astreinte jointe et diagnostic initial posé | 41 min |
| 15 h 25 | Cellule constituée, décision de bascule prise | 85 min |
| 15 h 52 | Autorisation du directeur des opérations obtenue | 112 min |
| 17 h 31 | Bascule technique achevée | 211 min |
| 18 h 47 | Tests fonctionnels validés, service rouvert | 287 min |
Durée réelle : 4 h 47. Objectif : 4 h. Dépassement : 47 minutes.
Ce que l'exercice révèle vraiment
La bascule technique a pris 99 minutes, conforme à l'estimation. Le dépassement ne vient pas de la technique.
Il vient de trois postes que le RTO ne comptait pas :
- Détection et diagnostic : 41 minutes. Le chronomètre du RTO démarre à l'incident, pas à la décision.
- Décision : 71 minutes. Constituer la cellule, évaluer, arbitrer, obtenir une autorisation formelle. Un mardi après-midi, avec tout le monde disponible.
- Vérification : 76 minutes. Personne n'avait prévu que la validation fonctionnelle prendrait plus longtemps que la bascule elle-même.
Les décisions prises ensuite
L'assureur n'a pas augmenté son RTO déclaré : il a réduit l'écart.
- Délégation permanente de décision à l'astreinte de niveau 2 en deçà d'un seuil d'impact défini, supprimant l'attente d'autorisation ;
- Critères de bascule automatiques : au-delà de 30 minutes d'indisponibilité totale confirmée, la bascule est engagée sans réunion ;
- Jeu de tests fonctionnels réduit de 40 contrôles à 9 contrôles bloquants, les 31 autres étant effectués après réouverture ;
- Deux exercices par an, dont un hors heures ouvrées.
L'exercice suivant, un samedi matin, a mesuré 3 h 38. Le RTO de 4 heures est devenu un engagement, alors qu'il n'était jusque-là qu'un chiffre.
À retenir
- Un RTO non testé est une hypothèse, pas un engagement
- Le temps de décision est presque toujours absent des estimations
- L'écart mesuré est plus utile que le chiffre cible