Du processus au service

Le constat qui a tout déclenché

Entre 2015 et 2020, plusieurs pannes bancaires majeures ont suivi le même schéma : chaque département avait son plan de continuité, chaque plan était à jour, chaque plan avait été testé — et le client s'est retrouvé sans accès à son compte pendant plusieurs jours.

La raison est structurelle. Un plan de continuité est écrit par un département, pour son périmètre. Le service rendu au client, lui, traverse six départements, quatre applications et trois fournisseurs. Personne n'était responsable de la chaîne complète.

La reformulation

Les régulateurs ont changé l'unité d'analyse. On ne demande plus « quels sont vos processus critiques ? » mais « quels services rendez-vous, et à partir de quand leur interruption devient-elle intolérable pour vos clients ? »

La différence est considérable en pratique :

Le quatrième changement est le plus important

Dans l'approche service, il faut désigner un propriétaire pour chaque service important — une personne responsable de la chaîne de bout en bout, y compris des maillons qu'elle ne contrôle pas hiérarchiquement.

C'est ce point qui rend l'exercice difficile, et c'est aussi ce qui le rend efficace. Un propriétaire de service confronté à une dépendance qu'il ne maîtrise pas la fait remonter ; un chef de département, lui, optimise son propre périmètre.

Ce que cela ne remplace pas

La résilience opérationnelle n'abroge pas la continuité d'activité : elle la surplombe. Le BIA, les stratégies, les plans et les exercices restent nécessaires — ils deviennent les moyens de tenir une tolérance, au lieu d'être une fin en soi.

Une organisation peut être parfaitement conforme à ISO 22301 et échouer à une revue de résilience opérationnelle, simplement parce qu'elle n'a jamais regardé ses services de bout en bout.