Douze mois, six jalons
Le calendrier qui tient
| Mois | Jalon | Livrable clé |
|---|---|---|
| 1–2 | Cadrage | Analyse de contexte, parties intéressées, périmètre approuvé, politique signée |
| 3–5 | Analyse | BIA validé, appréciation des risques, objectifs de continuité |
| 5–7 | Conception | Comparatif de stratégies, décision d'investissement, structure de réponse |
| 7–9 | Mise en œuvre | Plans, cartes réflexes, annuaire, sensibilisation |
| 9–11 | Validation | Programme d'exercices, au moins un exercice réel, audit interne, revue de direction |
| 11–12 | Certification | Audit étape 1 (documentaire), audit étape 2 (sur site) |
Douze mois est la durée réaliste pour une organisation de taille moyenne partant de zéro. Six mois est possible si un dispositif existe déjà et qu'il s'agit de le mettre en conformité.
Les trois erreurs de séquencement
Figer le périmètre trop tard. Le périmètre conditionne le BIA, les plans, l'audit et le certificat lui-même. Le modifier au mois 8 invalide six mois de travail. Il se décide au mois 2 et ne bouge plus.
Programmer l'audit interne après l'audit de certification. ISO 22301 § 9.2 exige un audit interne ; l'organisme certificateur vérifiera qu'il a eu lieu avant. Un SMCA sans audit interne préalable échoue à l'étape 1.
Reporter le premier exercice. L'exercice est la seule preuve que la capacité existe. Un dispositif complet sur le papier sans aucun exercice réalisé conduit à une non-conformité majeure sur la clause 8.5.
Les vingt informations documentées
ISO 22301 exige explicitement une vingtaine d'informations documentées. Les principales :
- Périmètre du SMCA et justification des exclusions (4.3)
- Politique de continuité (5.2)
- Objectifs de continuité (6.2)
- Preuves de compétence (7.2)
- Informations documentées jugées nécessaires (7.5.1)
- Processus et résultats du BIA et de l'appréciation des risques (8.2)
- Stratégies et solutions retenues (8.3)
- Plans et procédures (8.4)
- Programme et résultats d'exercices (8.5)
- Résultats d'évaluation (8.6)
- Résultats de surveillance et mesure (9.1)
- Programme et résultats d'audit interne (9.2)
- Comptes rendus de revue de direction (9.3)
- Non-conformités et actions correctives (10.1)
La tentation est d'en produire trois fois plus. Chaque document supplémentaire devra être maintenu, versionné et présenté en audit : la sobriété documentaire est une stratégie, pas une paresse.
À retenir
- Le périmètre se fige au mois 2, pas au mois 10
- L'audit interne et la revue de direction doivent précéder l'audit initial
- Un cycle complet d'exercices est exigé avant l'étape 2