Savoir qui fait quoi, dans quel ordre, pendant et après la panne
Le PRA remet vos systèmes en service. Le PCA vous permet de continuer l’essentiel en attendant. Vous décidez du niveau d’exigence ; nous construisons avec vos équipes un plan qu’elles peuvent suivre sous pression.
Un plan que personne n’a ouvert ne sert pas le jour J
Une procédure qui dit seulement « contacter l’informatique » ou « restaurer la sauvegarde » n’aide personne pendant une crise. Un plan utile dit qui déclenche, qui agit, dans quel ordre, avec quels accès, et comment vérifier que c’est reparti. Il doit pouvoir être suivi sans son auteur.
PRA ou PCA : deux questions différentes
| PRA — Plan de reprise d’activité | PCA — Plan de continuité d’activité | |
|---|---|---|
| La question | Comment remettre en service les systèmes et fonctions nécessaires après une interruption ? | Comment maintenir les activités essentielles pendant l’interruption, sans le système informatique habituel ? |
| Point de départ | Vos objectifs de reprise et les résultats d’un test | Les activités métier qui ne peuvent pas s’arrêter |
| Contenu | Scénarios, déclenchement, responsables, ordre de redémarrage, procédures, critères de vérification, retour à la normale | Modes dégradés, procédures manuelles, communication de secours, organisation temporaire, délégations |
| Vos interlocuteurs | Informatique, prestataire, direction | Direction et responsables métier |
| Comment on le vérifie | Exercice et nouveau test | Exercice de simulation |
L’un, l’autre ou les deux ?
| Votre situation | À examiner en priorité |
|---|---|
| Vous devez surtout restaurer vos systèmes, et vos activités peuvent attendre la reprise | Un PRA |
| Vous devez continuer à servir vos clients ou à produire pendant l’indisponibilité | Un PRA et un PCA |
| La continuité dépend à la fois de procédures temporaires et d’une restauration informatique | Un PRA et un PCA coordonnés, avec des critères de bascule et de retour communs |
Toutes les entreprises n’ont pas besoin d’un PCA, ni de la même ampleur. Nous proposons le périmètre à partir des conséquences d’un arrêt sur vos activités ; vous le validez.
Le plan de reprise d’activité (PRA)
Le PRA part des conséquences d’une interruption sur votre activité, pas de l’infrastructure. Il contient :
- les scénarios retenus (panne matérielle, rançongiciel, perte du site, panne d’un prestataire, erreur humaine) ;
- les conditions de déclenchement et les personnes habilitées à déclencher ;
- l’organisation de crise : responsables, suppléants, rôles ;
- la communication de secours, hors des systèmes touchés ;
- le périmètre à restaurer et l’ordre de redémarrage ;
- les sauvegardes à utiliser et les accès de secours, avec leur gardien ;
- des procédures pas à pas, avec le temps attendu et un point de contrôle ;
- les critères qui prouvent qu’un système est de nouveau utilisable ;
- le retour à la normale, puis la mise à jour du plan.
Exemple de fiche de procédure (exemple fictif)
| Champ | Contenu |
|---|---|
| Système | Logiciel de gestion des dossiers |
| Dépend de | Réseau interne, annuaire, serveur de base de données |
| Déclenché par | Responsable de crise, après redémarrage confirmé de l’annuaire |
| Exécuté par | Technicien du prestataire ; suppléant nommé |
| Étapes | Numérotées, chacune avec son résultat attendu |
| Test métier | Un collaborateur ouvre un dossier et enregistre une modification |
| Si échec | Escalade nommée, et bascule vers le mode dégradé du PCA si prévu |
Le plan de continuité d’activité (PCA)
Le PCA répond à une autre question : si vos moyens informatiques habituels ne sont plus disponibles, comment continuez-vous ce qui ne peut pas s’arrêter ? Il part de vos activités métier. Chaque mesure a un responsable, des ressources, des limites et un déclencheur :
- une procédure manuelle temporaire (par exemple, une prise de commande sur formulaire numéroté) ;
- un moyen de communication de secours ;
- un mode opératoire dégradé : traiter d’abord les dossiers urgents ;
- une solution de secours préparée à l’avance ;
- une organisation temporaire des équipes ;
- des délégations de décision ;
- des messages prêts pour vos clients et fournisseurs ;
- des critères pour passer en mode dégradé et en sortir.
Un PCA repose sur l’engagement de vos équipes métier. Nous le concevons avec elles ; vous l’organisez et l’exécutez.
Pour les exercices de crise métier, nous pouvons associer un partenaire.
Vos objectifs de reprise : c’est vous qui les fixez
Deux notions suffisent :
- Le délai de reprise visé : en combien de temps un système ou une activité doit redevenir opérationnel.
- La perte de données admissible : quelle période de données vous acceptez de perdre. Si la dernière copie utilisable date de la veille au soir, tout ce qui a été saisi depuis est perdu.
| Valeur | Qui la fixe |
|---|---|
| Durée d’interruption tolérable pour l’activité | Vous, à partir des conséquences métier |
| Objectif de délai de reprise | Vous, sur notre proposition, avec une marge |
| Temps réellement mesuré | CERVOX, lors d’un test |
| Décision d’arbitrage | Vous, en comparant les trois valeurs précédentes |
Comment le plan se construit
| Étape | Ce que vous obtenez |
|---|---|
| 1. Entretiens avec la direction et les métiers | Compte rendu des entretiens |
| 2. Activités essentielles identifiées | Liste des activités prioritaires |
| 3. Systèmes, données et dépendances | Carte des dépendances |
| 4. Objectifs de reprise définis et validés | Tableau des objectifs validé |
| 5. Capacités actuelles évaluées | Résultats d’un test de reprise |
| 6. Procédures PRA et PCA construites | PRA, PCA si retenu, annuaire de crise |
| 7. Corrections priorisées | Plan d’actions |
| 8. Exercices et tests | Comptes rendus d’exercice et de test |
| 9. Révision et maintien | Calendrier de mise à jour |
Ce que vous recevez
- Pour le PRA : le document validé, une fiche de procédure par système, l’annuaire de crise, la liste des points à compléter, le calendrier d’exercices.
- Pour le PCA, s’il est retenu : les activités à maintenir, les mesures de continuité et leurs responsables, les critères de bascule et de retour, les modèles de communication, le compte rendu d’exercice.
- Dans les deux cas : le tableau de vos objectifs de reprise, validé par écrit.
Ce qu’un plan ne fait pas
Un plan qui n’a jamais été exécuté reste une intention. Il n’est considéré comme opérationnel qu’après un exercice ou un test réussi sur son périmètre. Vous restez décideur et exécutant ; nous ne donnons pas d’avis juridique sur vos obligations.
Vérifier qu’un plan s’exécute : CERVOX Jour ZéroQuestions fréquentes
Quelle est la différence entre un PRA et un PCA ?
Le PRA remet vos systèmes en service après une interruption. Le PCA vous permet de maintenir vos activités essentielles pendant cette interruption.
Avons-nous besoin d’un PCA ?
Seulement si certaines activités ne peuvent pas attendre la fin de la restauration. Nous vous aidons à le déterminer.
Qui fixe les délais de reprise ?
Vous. Nous expliquons, proposons des options et montrons leurs conséquences ; vous validez par écrit.
Faut-il faire un test avant d’écrire le plan ?
Ce n’est pas obligatoire, mais c’est plus solide : le plan s’appuie alors sur un ordre de redémarrage et des temps constatés, plutôt que supposés.
Nos obligations nous imposent-elles un PRA ?
Certaines obligations contractuelles ou réglementaires peuvent imposer des délais ou des tests. Elles sont à vérifier avec vos conseils.
Animez-vous des exercices de crise ?
Oui pour les exercices liés à la reprise de vos systèmes ; pour les exercices de crise métier, nous pouvons associer un partenaire.
Construire un plan qui tient sous pression
Dites-nous où vous en êtes : pas de plan, un plan ancien ou un plan jamais exercé.