Structure commentée d’un plan de continuité

À quoi sert ce guide

Ce guide décrit, section par section, la structure d’un plan de continuité d’activité (PCA) : le document opérationnel qui dit qui fait quoi pour maintenir les activités critiques pendant une perturbation. Il s’adresse à la personne chargée de le rédiger ou de le revoir et s’utilise sans formation préalable.

Il suppose que le travail amont est fait, ou au moins engagé : une BIA (analyse d’impact sur l’activité) qui a désigné les activités critiques et fixé leurs objectifs, puis une analyse des dépendances qui a retenu des solutions de continuité. Le plan ne remplace pas ce travail : il le rend utilisable le jour où il faut agir. Quatre notions reviennent tout au long du guide :

• activité critique : activité dont l’interruption produirait des impacts inacceptables dans un délai court ;
• PMIT — période maximale d’interruption tolérable : durée au-delà de laquelle les impacts deviennent inacceptables ;
• RTO — objectif de délai de reprise : délai cible de reprise, toujours inférieur à la PMIT ;
• NMCA — niveau minimal de continuité d’activité : niveau de service dégradé mais acceptable à tenir pendant la perturbation.

Les principes d’un plan utilisable

• Court. Le plan sera lu par une personne inquiète, interrompue, parfois réveillée en pleine nuit. Ce qui relève de la méthode (BIA, analyse de risques, justification des choix) reste dans le dossier de travail.
• Orienté actions. Des verbes d’action, un responsable par action, un ordre clair. « Le service client est informé » ne dit pas qui informe.
• Utilisable sous stress. Listes numérotées, fiches réflexes d’une page, formulaires prêts : le lecteur doit pouvoir agir sans avoir lu tout le document.
• Accessible hors système. Un plan rangé uniquement sur l’intranet ou dans la messagerie en ligne disparaît avec eux. Prévoyez des exemplaires papier, une copie hors ligne sur les téléphones des personnes clés et une copie hors du site.
• Organisé par impact plutôt que par cause. Les causes sont innombrables (incendie, cyberattaque, inondation, grève, panne), mais les pertes se ramènent à quatre : l’informatique, le site, les personnes, un fournisseur. Une stratégie par perte de ressource couvre aussi les causes que personne n’a imaginées.
• Écrit pour les suppléants. Rédigez comme si le titulaire était absent : c’est souvent le cas.

Pour une organisation d’une à deux centaines de personnes, le corps du plan tient raisonnablement en 15 à 25 pages. Les annexes peuvent être plus longues, car on y cherche une information précise sans les lire en entier.

Les sections du plan, dans l’ordre

Pour chaque section : ce qu’elle contient, pourquoi elle existe, l’erreur fréquente, une taille raisonnable et un extrait du plan de Norvane.

Norvane est une organisation fictive, créée pour le cours d’initiation de l’académie et ses ressources ; toute ressemblance avec une entreprise existante serait fortuite. Ce distributeur régional de consommables médicaux et d’hygiène compte 140 salariés, un entrepôt unique et environ 1 400 clients professionnels, dont 5 cliniques privées. Sa BIA a fixé un RTO de 24 heures pour le flux global de commandes et de 2 heures pour les commandes urgentes des cliniques.

1. Objet et périmètre

Contenu. Ce que le plan protège (produits et services, activités critiques), les sites concernés, les exclusions et leurs raisons, les objectifs retenus, les documents liés comme le PRA informatique.

Pourquoi. Le lecteur doit savoir en une minute si le plan s’applique à sa situation et ce qu’il faut tenir.

Erreur fréquente. Recopier la politique de continuité ou l’historique du projet ; taire les exclusions, alors que ce qui n’est pas couvert doit être dit.

Taille raisonnable. Une page.

Extrait Norvane : ce plan couvre le service « livrer les commandes des clients de santé » sur le site unique (siège et entrepôt). Objectifs : RTO de 24 heures pour le flux global, de 2 heures pour les commandes urgentes des cliniques. Niveau minimal à tenir : 100 % des commandes urgentes et des commandes des établissements pour personnes âgées, au moins 60 % des autres commandes. Exclus de cette version : recrutement et marketing.

2. Critères de déclenchement et niveaux d’alerte

Contenu. Des critères observables qui déclenchent le plan, deux ou trois niveaux, la personne qui décide du passage d’un niveau à l’autre et ce que chaque niveau active.

Pourquoi. Sans critère écrit, on attend « encore un peu » que le système revienne, et l’on consomme la marge entre le RTO et la PMIT. Un seuil fixé à froid enlève l’hésitation.

Erreur fréquente. Des critères vagues (« en cas d’événement grave ») ou fondés sur la cause (« en cas d’incendie ») plutôt que sur l’effet et la durée.

Taille raisonnable. Une demi-page, souvent un tableau.

Extrait Norvane :

Le seuil d’une heure laisse le temps de basculer en mode dégradé avant l’objectif de 2 heures fixé pour les urgences des cliniques.

3. Organisation et rôles

Contenu. Les rôles, et pas seulement des noms : qui décide, qui coordonne, qui pilote chaque activité critique, qui communique, qui traite l’informatique. Pour chaque rôle, un titulaire et au moins un suppléant, ainsi que les délégations de décision et de signature valables en situation dégradée.

Pourquoi. Sous stress, la question « qui décide ? » fait perdre un temps précieux si elle n’a pas été tranchée à l’avance.

Erreur fréquente. Un seul nom par rôle, souvent celui du dirigeant, déjà le plus sollicité ; ou des délégations oubliées, si bien que personne ne sait qui peut engager une dépense urgente.

Taille raisonnable. Une page, sous forme de tableau.

Extrait Norvane :

4. Alerte et mobilisation

Contenu. Qui peut donner l’alerte, à qui et par quel moyen ; la chaîne d’appel ; les moyens de secours si la téléphonie ou la messagerie habituelles sont touchées ; le lieu de réunion ou le pont téléphonique ; ce qu’on attend des personnes alertées.

Pourquoi. Le temps perdu à joindre les bonnes personnes se paie directement sur le délai de reprise.

Erreur fréquente. Une chaîne qui repose sur les outils touchés par l’incident, comme la messagerie en ligne ou la téléphonie sur internet ; un annuaire jamais vérifié.

Taille raisonnable. Une demi-page, l’annuaire étant placé en annexe.

Extrait Norvane : toute personne qui constate une indisponibilité prévient son responsable, qui appelle Thomas Weber sur son portable (annexe A1). Si le lien fibre est coupé, la téléphonie sur internet de l’entrepôt l’est aussi : utiliser les téléphones portables et brancher le routeur 4G de secours. La cellule se réunit dans le bureau du responsable des opérations ou, à défaut, sur le pont téléphonique indiqué en annexe A1.

5. Première heure

Contenu. Une fiche réflexe d’une page, valable quelle que soit la cause : mettre les personnes en sécurité, qualifier ce qui est perdu, décider du niveau, protéger les flux les plus urgents, prévenir, ouvrir un journal de bord, fixer le prochain point.

Pourquoi. Les décisions de la première heure conditionnent la suite, alors que c’est le moment où l’on sait le moins de choses. Une liste fixe évite les oublis.

Erreur fréquente. Une fiche trop détaillée ou propre à un seul scénario ; l’oubli du journal de bord, pourtant indispensable pour coordonner, ressaisir et tirer les leçons.

Taille raisonnable. Une page, pas plus.

Extrait Norvane, fiche « Première heure » :

1. Mettre les personnes en sécurité si le site est touché.
2. Qualifier la perte (informatique, site, personnes ou fournisseur) et ouvrir la stratégie correspondante.
3. Noter l’heure de début et ouvrir le journal de bord : heure, fait, décision, auteur.
4. Décider du niveau à l’aide du tableau de déclenchement.
5. Lister les commandes urgentes des cliniques en cours à partir de l’export quotidien conservé sur le poste hors ligne.
6. Demander à Julie Moreau d’informer les 5 cliniques avec le message type C1.
7. Expliquer à l’équipe de préparation la conduite à tenir.
8. Fixer le prochain point de situation une heure plus tard.

6. Stratégies par perte de ressource

Contenu. Une stratégie pour chacune des quatre pertes : informatique, site, personnes, fournisseur. Chacune dit comment tenir le niveau minimal et dans quel délai, quelles solutions de continuité activer, qui les active et avec quelles limites.

Pourquoi. C’est le cœur du plan. Organisé par perte de ressource, il reste valable pour des causes imprévues.

Erreur fréquente. Décrire une solution sans dire qui l’active ; présenter comme acquise une solution jamais testée. Un objectif n’est pas une capacité réelle de reprise : le plan doit signaler honnêtement les écarts qui subsistent.

Taille raisonnable. Une à deux pages par perte de ressource.

Extrait Norvane, résumé des quatre stratégies :

• Perte de l’informatique (ERP, WMS ou lien fibre) : passer en préparation sur listes papier à partir de l’export quotidien (procédure P1) et brancher le routeur 4G de secours ; Karim Haddad lance avec le prestataire la restauration du WMS. Limite connue : cette restauration n’a pas encore été testée, son délai réel est donc inconnu.
• Perte du site (entrepôt inaccessible) : pas de site de repli à ce jour, écart présenté à la direction pour arbitrage. Mesure d’attente : demander aux principaux fabricants et grossistes de livrer directement les références critiques aux cliniques et aux établissements pour personnes âgées.
• Perte de personnes : en dessous de 30 préparateurs disponibles sur 34, réduire le flux en servant d’abord les commandes prioritaires ; en dessous de 12, passer en niveau crise. Paramétrage du WMS : 2 personnes formées, 2 autres en cours de formation croisée.
• Perte d’un fournisseur : si Altéo Transport, transporteur sous-traitant fictif qui assure 85 % des livraisons, ne peut plus effectuer ses tournées, activer l’accord-cadre avec le second transporteur. Pour les gants nitrile de la gamme principale, issus d’un fabricant unique, puiser dans le stock tampon des références critiques.

7. Procédures dégradées

Contenu. Les modes de travail sans la ressource habituelle, écrits pas à pas : prendre une commande sans le logiciel de gestion, préparer sans le logiciel d’entrepôt, livrer sans le transporteur habituel. Formulaires et listes prêts à imprimer.

Pourquoi. La stratégie dit quoi faire ; la procédure dégradée dit comment. C’est elle qui permet à un suppléant ou à un intérimaire d’agir.

Erreur fréquente. Des procédures rédigées sans les utilisateurs et jamais essayées ; l’oubli de la sortie du mode dégradé, c’est-à-dire de la ressaisie.

Taille raisonnable. Une page par procédure, numérotée et datée.

Extrait Norvane, procédure P1 « Préparation sur listes papier » :

1. Imprimer depuis le poste hors ligne l’export du jour : clients, stocks, commandes en cours.
2. Classer les commandes : urgences des cliniques, puis établissements pour personnes âgées, puis autres commandes, jusqu’à 60 % au moins de ces dernières.
3. Préparer sur la liste en cochant chaque ligne et en notant la quantité réellement prélevée.
4. Numéroter et conserver chaque liste : elle servira à la ressaisie.

8. Communication interne et externe

Contenu. Qui communique, vers qui, par quel canal et à quel rythme ; les parties à prévenir par ordre de priorité (personnel, clients prioritaires, autres clients, fournisseurs, autorités le cas échéant) ; des messages types prêts à adapter ; la règle de validation des messages.

Pourquoi. Un client prévenu peut s’organiser ; un client sans nouvelles appelle, et sature les lignes dont on a besoin. Le personnel a les mêmes besoins.

Erreur fréquente. Rédiger les messages pendant la crise ; oublier la communication interne ; laisser plusieurs personnes parler aux clients avec des versions différentes.

Taille raisonnable. Une page, les messages types étant placés en annexe.

Extrait Norvane, message type C1 destiné aux cliniques : « Bonjour, ici Norvane. Notre système de commandes est perturbé depuis [heure]. Vos commandes urgentes restent traitées en priorité : appelez directement le service client au [numéro de secours]. Nous vous rappellerons à [heure du prochain point]. » Tout autre message externe est validé par Inès Marchal ou sa suppléante.

9. Retour à la normale

Contenu. Les critères de fin du mode dégradé, qui les constate et qui décide ; l’ordre de reprise des activités ; la ressaisie et le contrôle des données ; l’information des parties prévenues ; la clôture du journal de bord et le lancement du retour d’expérience (RETEX).

Pourquoi. La reprise est une phase à risque : doublons, oublis, stocks faux. Chez Norvane, la ressaisie qui a suivi une panne de l’ERP de 9 heures a pris deux jours.

Erreur fréquente. Déclarer la fin dès que le système redémarre, sans vérifier la cohérence des données ni planifier le rattrapage.

Taille raisonnable. Une demi-page à une page.

Extrait Norvane : le retour à la normale est décidé par Thomas Weber, après confirmation par Karim Haddad que l’ERP et le WMS sont cohérents. Les listes papier sont ressaisies dans l’ordre de leur numéro, puis contrôlées par une seconde personne. Le service client informe les cliniques de la fin de la perturbation. Le RETEX est planifié dans les deux semaines.

10. Maintien en condition

Contenu. Numéro de version, date, propriétaire du plan, liste de diffusion (qui détient un exemplaire, sous quelle forme), fréquence de revue, déclencheurs de mise à jour, historique des modifications.

Pourquoi. Un plan se périme vite : un numéro change, un fournisseur est remplacé, une équipe est réorganisée. Une version périmée est dangereuse précisément parce qu’on lui fait confiance.

Erreur fréquente. Ne revoir le plan qu’une fois par an, sans déclencheurs ; laisser circuler plusieurs versions papier sans savoir laquelle fait foi.

Taille raisonnable. Une demi-page.

Extrait Norvane : version 1.1, propriétaire Thomas Weber. Revue complète annuelle, annuaire vérifié chaque trimestre. Mise à jour obligatoire en cas de changement d’organisation, de fournisseur ou d’outil, après tout incident réel et après chaque exercice. Modifications de la version 1.1, à la suite d’un exercice sur table sur l’indisponibilité du transporteur : deux numéros de l’annuaire corrigés, délégation de signature de la commande au second transporteur ajoutée, message type aux cliniques rédigé, contrôle quotidien de la date de l’export clients.

11. Annexes

Contenu. Tout ce qu’on consulte sans le lire en entier : annuaire de crise interne et externe, liste des clients prioritaires avec contacts d’urgence, inventaires des applications et des équipements, références critiques, formulaires vierges, contrats d’urgence, plans d’accès.

Pourquoi. Elles allègent le corps du plan et mettent à l’abri des informations qui, sinon, ne se trouvent que dans les systèmes indisponibles.

Erreur fréquente. Des annexes consultables uniquement dans le système en panne ; des listes sans date ni responsable.

Taille raisonnable. Libre, à condition que chaque annexe soit datée et ait un responsable.

Extrait Norvane : A1 Annuaire de crise (titulaires, suppléants, Altéo Transport, second transporteur, éditeur de l’ERP, prestataire d’infogérance, agence du portail web). A2 Clients prioritaires avec contacts d’urgence : cette liste n’existait que dans l’ERP, elle fait désormais partie de l’export quotidien. A3 Références critiques et stock tampon. A4 Formulaires : bon de commande papier numéroté, journal de bord. A5 Messages types.

Tableau récapitulatif

Liste de contrôle : mon plan est-il utilisable ?

• Une personne qui ne l’a jamais lu trouve-t-elle en deux minutes ce qu’elle doit faire ?
• Chaque action a-t-elle un responsable désigné par son rôle, et chaque rôle un suppléant ?
• Les critères de déclenchement sont-ils observables et liés aux objectifs de reprise ?
• Le plan est-il organisé par perte de ressource plutôt que par scénario ?
• La fiche « Première heure » tient-elle sur une page ?
• Les procédures dégradées ont-elles été essayées par ceux qui les appliqueront ?
• Le plan distingue-t-il les solutions testées de celles qui ne le sont pas, et signale-t-il les écarts restants ?
• Les messages types sont-ils rédigés et validés ?
• Le plan et ses annexes sont-ils accessibles sans le réseau, sans la messagerie et hors du site ?
• L’annuaire a-t-il été vérifié, numéro par numéro, depuis moins de trois mois ?
• La version qui fait foi est-elle identifiable, et les anciennes ont-elles été retirées ?
• Le plan a-t-il été exercé au moins une fois, et le RETEX a-t-il donné lieu à des mises à jour ?