Guide d’entretien BIA

À quoi sert ce guide

Ce guide aide à préparer et à conduire un entretien d’analyse d’impact sur l’activité (BIA). Il s’adresse à la personne qui mène l’entretien : coordinateur continuité, responsable des risques, consultant. Il s’utilise seul, sans formation préalable, dans toute organisation.

La BIA mesure comment les impacts d’une interruption évoluent dans le temps, afin de fixer des priorités et des objectifs de reprise. L’entretien en est la principale source : c’est là que les responsables d’une activité décrivent ce qu’ils produisent, ce dont ils dépendent et ce qui se passe quand tout s’arrête.

Quatre notions à maîtriser

• PMIT — période maximale d’interruption tolérable : durée au-delà de laquelle les impacts d’une interruption deviennent inacceptables.
• RTO — objectif de délai de reprise : délai cible de reprise d’une activité ou d’une ressource ; toujours inférieur à la PMIT, pour garder une marge.
• RPO — objectif de point de reprise : quantité maximale de données qu’on accepte de perdre, exprimée en temps.
• NMCA — niveau minimal de continuité d’activité : niveau de service dégradé mais acceptable à tenir pendant la perturbation.

Ce que l’entretien fait, et ce qu’il ne fait pas

L’entretien recueille des faits et des jugements argumentés : ce que l’activité produit, pour qui, à quel rythme, avec quelles ressources, et à partir de quand son arrêt devient inacceptable. Il aboutit à des propositions de PMIT, de RTO, de RPO et de NMCA.

Il ne fixe pas ces objectifs : c’est la direction qui les valide, après comparaison entre activités. Ce n’est pas non plus une analyse de risques (on n’estime pas la probabilité d’une panne ou d’un incendie), ni un audit informatique, ni une évaluation de l’équipe interrogée. Le dire en ouverture évite beaucoup de réponses défensives.

Qui interroger

Interrogez la personne qui pilote l’activité au quotidien : responsable d’équipe, chef de service, responsable de processus. Elle sait ce qui se passe un lundi de pointe, ce que les clients réclament et quels contournements existent. Complétez si nécessaire par :

• un opérateur expérimenté, qui connaît les gestes, les outils et les contournements non écrits ;
• la personne en contact avec les clients de l’activité, pour qualifier leurs attentes et les engagements contractuels ;
• un référent finance, pour chiffrer les impacts financiers avec les mêmes seuils pour toutes les activités.

Deux ou trois participants forment un bon format. Au-delà, l’entretien devient une réunion et les réponses s’alignent sur la personne la plus haut placée.

Qui ne pas interroger seul

• Un membre de la direction seul : sa vision éclaire les enjeux, rarement les délais et les dépendances concrets. Croisez avec le terrain.
• Le responsable informatique seul : il connaît les systèmes, pas les conséquences métier de leur arrêt. S’il fixe les objectifs, ils refléteront ce que l’informatique sait faire, pas ce dont l’activité a besoin.
• Un nouvel arrivant : il ne connaît ni l’historique des incidents ni les pointes.
• Le responsable d’une activité qui est aussi coordinateur continuité : faites relire ses réponses par un pair ou par la direction, pour éviter l’auto-évaluation.

Préparer l’entretien

Documents à réunir

• l’organigramme et la liste des activités du périmètre, avec leur responsable ;
• la description de l’activité si elle existe : procédure, fiche de poste, schéma de processus ;
• les engagements envers les clients : contrats, niveaux de service, délais promis ;
• les volumes par jour, par semaine et sur l’année ;
• le calendrier des échéances : clôtures, déclarations, paie, campagnes, pointes saisonnières ;
• la liste des applications et des fournisseurs connus de l’activité ;
• les comptes rendus d’incidents passés.

Durée et format

Prévoyez 60 à 90 minutes. En dessous, vous n’aurez pas le temps de parcourir les impacts horizon par horizon ; au-delà, l’attention baisse et mieux vaut programmer un second échange. Venez à deux si possible : l’un mène, l’autre note.

Envoi préalable

Une semaine avant, envoyez à la personne interrogée l’objet de l’entretien en trois lignes (en précisant qu’il ne s’agit ni d’un audit ni d’une évaluation), les blocs de questions ci-dessous, la grille de notation des impacts et une demande de données : volumes, contrats, incidents.

N’envoyez pas un questionnaire à remplir à la place de l’entretien : les réponses écrites sont presque toujours plus courtes, plus prudentes et moins exploitables qu’un échange où l’on peut relancer.

Déroulé de l’entretien, bloc par bloc

Commencez par cinq minutes de cadrage : objet, durée, usage des réponses, validation à venir. Suivez ensuite les blocs dans l’ordre : ils vont du concret (ce que l’activité produit) à l’abstrait (les objectifs), ce qui rend les réponses plus fiables. Pour chaque bloc, la liste donne les questions à poser et le paragraphe suivant indique ce que vous cherchez à obtenir.

1. Activité et production rendue

• Que produit votre activité, et pour qui : clients externes, autres services ?
• Qu’est-ce qui serait visible de l’extérieur si elle s’arrêtait demain matin ?
• Quelles activités en aval dépendent de ce que vous produisez ?

Ce que vous cherchez : une description de l’activité par son résultat, en une ou deux phrases, et la liste de ses bénéficiaires. On protège un produit ou un service rendu, pas une case de l’organigramme.

2. Volumes et pointes

• Combien d’unités traitez-vous par jour en moyenne : commandes, dossiers, appels ?
• Quelle est la journée ou l’heure la plus chargée, et avec quel volume ?
• Combien de personnes faut-il au minimum pour tenir le flux normal ? Et un flux réduit à l’essentiel ?

Ce que vous cherchez : des ordres de grandeur plutôt qu’une précision comptable, et surtout l’effectif minimal. Ces chiffres serviront à dimensionner le niveau minimal de continuité et les solutions de continuité.

3. Saisonnalité et échéances

• Y a-t-il des périodes où une interruption serait beaucoup plus grave : fin de mois, clôture, campagne, saison ?
• Quelles échéances externes ne peuvent pas être déplacées ?
• À l’inverse, existe-t-il des périodes creuses ?

Ce que vous cherchez : la criticité variable dans le temps. La paie peut tolérer plusieurs semaines d’arrêt en milieu de mois et quelques jours seulement autour de la date de versement. Retenez la période la plus défavorable : c’est elle qui sert à évaluer les impacts.

4. Impacts dans le temps, par critère et par horizon

• Si l’activité s’arrête complètement, que se passe-t-il au bout de 4 heures ? De 24 heures ? De 3 jours ? D’une semaine ?
• Pour chaque horizon : quelles conséquences pour les clients ou usagers, pour les finances, sur le plan contractuel ou réglementaire, pour la réputation, en interne ?
• Sur quoi vous fondez-vous : un engagement écrit, un incident vécu, une estimation ?

Ce que vous cherchez : une note de 1 à 4 par critère et par horizon, à l’aide de la grille plus bas, appuyée sur un fait. Posez l’hypothèse d’un arrêt total au pire moment plausible, quelle qu’en soit la cause : l’entretien ne porte pas sur les scénarios.

5. Période maximale d’interruption tolérable (PMIT)

• D’après le tableau que nous venons de remplir, à partir de quand l’arrêt devient-il inacceptable ?
• Une partie de l’activité devient-elle inacceptable plus tôt que le reste ?

Ce que vous cherchez : une PMIT déduite des impacts, et non annoncée d’emblée. Elle se situe entre le dernier horizon où toutes les notes restent inférieures à 4 et le premier où une note atteint ce niveau ; affinez-la dans cet intervalle. Si un flux particulier a un seuil plus court (urgences, clients prioritaires), notez deux PMIT distinctes.

6. Objectif de délai de reprise (RTO)

• Dans quel délai faudrait-il avoir repris, au moins au niveau minimal, pour rester sous ce seuil avec une marge ?
• Combien de temps faut-il pour relancer l’activité une fois les ressources revenues ?

Ce que vous cherchez : un RTO inférieur à la PMIT, avec une marge explicite qui couvre la détection, la décision et la remise en route. Ne demandez pas « en combien de temps l’informatique peut-elle redémarrer ? » : c’est une question de capacité réelle de reprise, qui viendra après.

7. Objectif de point de reprise (RPO)

• Si vos données revenaient dans l’état d’il y a une heure, d’hier soir ou de la semaine dernière, que perdriez-vous ?
• Pourriez-vous reconstituer ce qui manque, et à partir de quoi ?

Ce que vous cherchez : la perte de données acceptable, exprimée en temps, pour chaque ensemble de données important. Le RPO est souvent plus court que ne le suppose l’informatique, car certaines saisies, comme les commandes prises par téléphone, ne laissent aucune autre trace.

8. Niveau minimal de continuité d’activité (NMCA)

• Pendant la perturbation, que faut-il absolument continuer à produire, et pour qui ?
• Quels clients, quels produits, quels flux pourraient attendre ?
• Quelle part du flux normal serait acceptable pendant quelques jours ?

Ce que vous cherchez : une définition concrète du service dégradé, avec des priorités nommées et un niveau chiffré. Un NMCA de 100 % de tout n’est pas un NMCA : il signale que la question des priorités n’a pas été tranchée.

9. Modes dégradés existants

• Que faites-vous aujourd’hui quand un outil ou une ressource manque ?
• Ce contournement est-il écrit ? Testé ? Connu de qui ?
• Combien de temps pourrait-il tenir, et avec quelles limites ?

Ce que vous cherchez : l’inventaire des contournements réels, y compris informels, et leur durée de vie. Un mode dégradé connu d’une seule personne est fragile ; c’est souvent une solution de continuité en germe qu’il suffit de formaliser.

10. Dépendances par famille

• Personnes : quelles compétences sont indispensables, et combien de personnes les maîtrisent ?
• Locaux : l’activité peut-elle se faire ailleurs, ou à distance ?
• Informatique et données : quelles applications, quels réseaux, quels postes ?
• Fournisseurs : quels prestataires sont indispensables, et existe-t-il une alternative ?
• Équipements : quelles machines, quels terminaux, quels véhicules ?
• Informations : quels documents, listes ou contacts faut-il avoir sous la main ?

Ce que vous cherchez : une liste de dépendances par famille, avec pour chacune l’existence ou non d’une alternative. Repérez les points uniques de défaillance, ces ressources sans alternative dont la perte arrête l’activité. Vous ne les traitez pas pendant l’entretien : vous les transmettez à l’analyse des dépendances et des solutions.

11. Données et reconstitution

• Où se trouvent les données nécessaires pour travailler en mode dégradé ?
• Si le système principal est perdu, disposez-vous d’une copie consultable hors système ?
• Après la reprise, combien de temps faudrait-il pour ressaisir et contrôler ce qui a été fait pendant la panne ?

Ce que vous cherchez : de quoi relier le RPO à la réalité. Les données critiques sont-elles accessibles hors système ? La ressaisie est-elle comptée dans le délai de retour à la normale ? La reconstitution est souvent le coût caché d’une interruption.

12. Retours d’incidents vécus

• Quelle est la dernière interruption sérieuse que vous avez vécue, et combien de temps a-t-elle duré ?
• Qu’avez-vous fait, qu’est-ce qui a manqué, qui avez-vous prévenu ?
• Qu’est-ce qui a été le plus long à rattraper ?

Ce que vous cherchez : des faits pour confirmer ou corriger les notes et les objectifs proposés. Un incident vécu vaut mieux qu’une estimation : il révèle aussi la capacité réelle de reprise, celle qui a été démontrée, à distinguer de l’objectif.

Grille de notation des impacts

Utilisez la même grille pour toutes les activités du périmètre : c’est ce qui rend les résultats comparables. Faites valider les descriptions des niveaux, en particulier les seuils financiers, par la direction avant la première série d’entretiens.

Grille à recopier pour chaque activité : une note de 1 à 4 par case, avec en marge le fait qui la justifie.

Adaptez les horizons si votre activité vit à un autre rythme, mais gardez les mêmes pour tout le périmètre.

Éviter les biais

La sur-déclaration

Chaque responsable a de bonnes raisons de juger son activité critique : il la connaît, il en mesure les conséquences, et il craint qu’une note basse soit lue comme un manque d’importance. Résultat fréquent : toutes les activités affichent une PMIT de 4 heures et la BIA ne permet plus de prioriser.

Pour l’éviter, annoncez que la criticité mesure la vitesse à laquelle l’arrêt devient grave, pas la valeur de l’activité ni celle de l’équipe. Demandez un fait pour chaque note de 3 ou 4, demandez « que s’est-il passé la dernière fois ? », et comparez les résultats entre activités lors de la consolidation.

La confusion entre important et urgent

Une activité peut être essentielle sur l’année et tolérer plusieurs jours d’arrêt : la facturation en est l’exemple classique. À l’inverse, une activité modeste devient intolérable en quelques heures si un engagement court en dépend. Ramenez toujours la question au temps : « que se passe-t-il au bout de 24 heures ? » plutôt que « est-ce important ? ».

Le RTO fixé par l’informatique

Quand le RTO est déduit de ce que l’informatique sait restaurer (« la sauvegarde se restaure en 8 heures, donc le RTO est de 8 heures »), l’objectif épouse la capacité existante et l’écart disparaît par construction. L’ordre doit être inverse : le métier exprime son besoin à partir des impacts, puis on le compare à la capacité réelle de reprise, démontrée par un test, un exercice ou un incident vécu. Associez l’informatique à la consolidation, pas à la fixation des objectifs.

Autres pièges courants

• Raisonner par cause (« et si c’était un incendie ? ») : l’entretien porte sur les impacts d’un arrêt, quelle qu’en soit l’origine.
• Prendre la moyenne au lieu du pire moment plausible : une interruption arrive aussi un jour de pointe.
• Oublier le rattrapage : le retour des ressources ne signifie pas le retour à la normale.

Restitution et validation

1. Sous trois jours ouvrés, rédigez la fiche d’entretien et envoyez-la à la personne interrogée pour correction. Distinguez ce qu’elle a dit de ce que vous proposez.
2. Intégrez ses corrections, en gardant la trace des points de désaccord.
3. Consolidez toutes les fiches du périmètre dans un tableau unique, avec la même grille et les mêmes horizons. Corrigez les incohérences manifestes : deux activités liées ne peuvent pas avoir des PMIT incompatibles.
4. Présentez la synthèse à la direction, qui valide les PMIT, RTO, RPO et NMCA et arbitre les désaccords. Cette validation est indispensable : les objectifs engagent des moyens et traduisent un niveau de risque accepté.
5. Informez les personnes interrogées des objectifs retenus et de la suite : analyse des dépendances, solutions, plan.

Exemple de fiche remplie : Norvane

Norvane est une organisation fictive, créée pour le cours d’initiation de l’académie et ses ressources ; toute ressemblance avec une entreprise existante serait fortuite. Distributeur régional de consommables médicaux et d’hygiène, elle emploie 140 salariés, exploite un entrepôt unique et sert environ 1 400 clients professionnels, dont 5 cliniques privées.

L’entretien a été mené par Thomas Weber, responsable des opérations et coordinateur continuité, avec le chef d’équipe préparation et Julie Moreau, responsable du service client. Comme Thomas Weber pilote aussi cette activité, la fiche a été relue par Sofia Benali, directrice administrative et financière.

Notes du flux global. Le flux urgent des cliniques est noté à part : niveau 4 dès 4 heures, en raison de l’engagement contractuel de livraison en 4 heures.

Lecture : le niveau 4 est atteint entre 24 heures et 3 jours. La PMIT du flux global a donc été fixée à 48 heures, et le RTO à 24 heures pour garder une marge.

Liste de contrôle finale

Avant l’entretien

• Les seuils de la grille, notamment financiers, ont été validés par la direction.
• Les blocs de questions et la grille ont été envoyés une semaine avant.
• Les volumes, contrats et comptes rendus d’incidents sont réunis.

Pendant l’entretien

• L’activité est décrite par ce qu’elle produit et pour qui.
• Chaque note de 3 ou 4 s’appuie sur un fait.
• La PMIT est déduite des impacts ; le RTO lui est inférieur, avec une marge expliquée.
• Le RPO est exprimé en temps pour chaque ensemble de données important.
• Le NMCA nomme des priorités et un niveau chiffré.
• Les six familles de dépendances ont été passées en revue et les points uniques de défaillance sont signalés.
• Au moins un incident vécu a été discuté.

Après l’entretien

• La fiche a été relue et corrigée par la personne interrogée.
• Les objectifs ont été consolidés avec ceux des autres activités et validés par la direction.
• Les points uniques de défaillance ont été transmis à l’analyse des dépendances.