La méthode
La démarche part de l’analyse d’impact sur l’activité (Business Impact Analysis, BIA) : identifier les activités essentielles, estimer les conséquences de leur interruption dans le temps (financières, réglementaires, image), et en déduire un délai maximal d’interruption admissible.
Pour chaque activité et les systèmes qui la supportent, on fixe un objectif de délai de reprise (RTO, Recovery Time Objective — en combien de temps redémarrer) et un objectif de perte de données maximale admissible (RPO, Recovery Point Objective — jusqu’à quel point dans le passé peut-on revenir).
Ces objectifs guident le choix des stratégies de continuité (site de repli, redondance, télétravail, contrats de service) et la rédaction des procédures de crise. La norme ISO 22301 encadre le système de management de la continuité d’activité ; en France, le guide du SGDSN sert de référence méthodologique.
Quand l’utiliser
- Mise en place initiale d’un dispositif de continuité, ou revue après un changement d’organisation ou de système d’information.
- Exigence réglementaire ou contractuelle (DORA pour le secteur financier, NIS2, exigences d’un donneur d’ordre).
- Après un incident, pour tirer les enseignements et ajuster le plan.
Points d’attention
- Un plan jamais testé donne une fausse confiance : programmer des exercices réguliers, y compris à blanc.
- Le PCA dépend souvent de fournisseurs ou prestataires externes : vérifier leurs propres engagements de continuité.
- Prioriser les RTO/RPO selon l’impact réel, pas selon la facilité technique à les tenir.
Étapes
- Identifier les activités essentielles de l’organisation et leurs dépendances (systèmes, fournisseurs, personnes, locaux).
- Réaliser le BIA : estimer l’impact de l’interruption de chaque activité dans le temps.
- Fixer RTO et RPO pour chaque activité et système critique.
- Choisir les stratégies de continuité et de reprise, et rédiger les procédures de crise.
- Tester le plan régulièrement (exercices, tests techniques) et le mettre à jour.
Guides et références pour le PCA
Liste issue du catalogue Aurorisk, liens contrôlés le 2026-09-26. Les accès gratuits établis sont listés en premier ; les informations inconnues sont indiquées.
| Outil | Source · licence · accès | Portée | Description |
|---|---|---|---|
| Ready.gov — Business Continuity ↗ | Organisme publicGratuit | États-Unis | Modèle de plan de continuité (FEMA). |
| SGDSN — guide PCA ↗ | Organisme publicGratuit | France | Guide officiel avec 27 fiches pratiques. |
Normes et références
- ISO 22301 — Continuité d’activité
- SGDSN — Guide pour réaliser un plan de continuité d’activité (2013)