Norme, bonne pratique, réglementation : qui dit quoi

Trois familles de textes

Les normes

Une norme est volontaire. On choisit de s'y conformer, éventuellement de se faire certifier. Elle apporte un langage commun, une structure éprouvée et un signal de crédibilité vers les clients.

ISO 22301 est certifiable. ISO 22313, ISO/TS 22317, ISO 22361 ne le sont pas : ce sont des guides.

Les bonnes pratiques professionnelles

Le Good Practice Guidelines du BCI et les Professional Practices du DRI ne sont ni des normes ni des réglementations : ce sont les corpus de la profession. Ils décrivent comment les praticiens travaillent réellement, avec un niveau de détail opérationnel qu'aucune norme n'atteint.

Ils servent deux usages : la formation des praticiens, et les certifications individuelles — le certificat porte sur la personne, pas sur l'organisation.

Les réglementations

Une réglementation s'impose. Elle ne se négocie pas, elle ne se choisit pas, et le non-respect expose à des sanctions.

DORA, NIS 2, la directive CER, les orientations de l'EBA, le régime britannique de résilience opérationnelle relèvent de cette catégorie.

Comment choisir quel texte ouvrir

L'ordre de lecture recommandé

Pour une organisation qui démarre, l'ordre qui fonctionne est :

1. ISO 22300 pour le vocabulaire — une heure de lecture qui évite six mois de malentendus ;
2. ISO 22301 pour la structure des exigences ;
3. ISO/TS 22317 avant de lancer le premier BIA ;
4. Le texte réglementaire applicable, s'il en existe un, lu en dernier mais appliqué en premier.

Cette dernière inversion est délibérée : on comprend mieux une exigence réglementaire quand on maîtrise déjà la discipline qu'elle encadre.