Une panne informatique, un fournisseur indisponible ou l’absence d’une compétence clé peuvent interrompre un processus métier avant qu’un incident devienne visible. L’analyse d’impact sur l’activité mesure les conséquences de cet arrêt et aide à déterminer les activités à rétablir en priorité.
L’enjeu n’est pas de tout protéger au même niveau, mais de fixer des objectifs de reprise adaptés aux besoins réels et aux moyens disponibles. Une méthodologie rigoureuse relie les impacts, les dépendances opérationnelles et la continuité d’activité pour construire un plan de continuité concret.
A retenir :
- Activités essentielles clairement hiérarchisées
- Seuils d’interruption adaptés aux enjeux métier
- Dépendances critiques repérées avant la crise
- Décisions de continuité validées par la direction
Analyse d’impact sur l’activité : cadrer les processus métier
Cette hiérarchisation commence par un périmètre partagé, car une analyse incomplète risque de laisser de côté des services indispensables. Les responsables métier doivent décrire leurs activités quotidiennes, leurs ressources et les conséquences concrètes d’une interruption.
Cartographier les activités et leurs dépendances opérationnelles
Dans ce cadrage, chaque activité est classée selon son rôle dans la fourniture des produits ou services. Pour une entreprise de vente en ligne, le paiement peut être essentiel, tandis que certaines tâches administratives peuvent attendre.
Les entretiens avec les équipes révèlent ensuite les dépendances opérationnelles : compétences rares, applications, fournisseurs, locaux ou autorisations. Selon ISO 22301, l’organisme doit analyser les activités et les effets d’une perturbation pour établir les priorités de continuité.
Repères pour classer les activités :
- Activités essentielles : arrêt menaçant la pérennité ou la sécurité
- Activités importantes : interruption causant des préjudices significatifs
- Activités support : suspension temporaire absorbable en mode dégradé
Mesurer les conséquences selon plusieurs dimensions
Une fois les activités recensées, l’analyse des conséquences examine leur dégradation au fil du temps. Elle couvre notamment les pertes financières, les obligations juridiques, la réputation, les conditions de travail et les engagements contractuels.
Dimension
Questions à examiner
Financière
Quelles recettes disparaissent et quels coûts supplémentaires apparaissent ?
Juridique
Quels contrats, obligations ou agréments risquent d’être affectés ?
Réputationnelle
Quels clients ou partenaires peuvent perdre confiance ?
Humaine
Quels effets l’arrêt produit-il sur la sécurité et les équipes ?
Ce premier diagnostic indique quelles activités méritent une analyse approfondie. Il faut ensuite convertir leurs impacts en seuils de reprise utilisables pour arbitrer les moyens.
Définir les objectifs de reprise et les seuils d’interruption
À partir des impacts observés, l’organisation fixe des limites de tolérance qui guident ses choix techniques et opérationnels. Ces seuils doivent être discutés avec les métiers, car un objectif trop ambitieux peut mobiliser des ressources disproportionnées.
Distinguer RTO, RPO et durée maximale admissible
Pour traduire les priorités, trois indicateurs répondent à des questions différentes : quand reprendre, quelle perte de données accepter et quand l’interruption devient intolérable. Selon le règlement DORA, les entités financières concernées doivent organiser leur résilience opérationnelle numérique et leur capacité de reprise.
Indicateur
Ce qu’il mesure
Question pratique
RTO
Délai visé pour rétablir une activité
Quand faut-il reprendre le service ?
RPO
Perte de données acceptable
Jusqu’à quel point les données peuvent-elles être anciennes ?
DMIA
Durée maximale d’interruption admissible
À partir de quand les conséquences deviennent-elles intolérables ?
MTPD
Limite au-delà de laquelle la reprise devient impossible ou inutile
Quel est le seuil ultime de tolérance ?
Hiérarchiser les activités sans surestimer l’urgence
Ces indicateurs permettent de comparer les activités au lieu d’attribuer artificiellement la même priorité à chaque service. Un cabinet peut parfois fonctionner temporairement sans certains outils internes, alors qu’une plateforme de paiement dépend directement de la disponibilité de ses systèmes.
Critères d’arbitrage des reprises :
- Durée tolérable avant une dégradation inacceptable
- Ampleur financière, juridique et humaine des impacts
- Nombre et fragilité des ressources indispensables
- Capacité réelle à fonctionner en mode dégradé
Selon la directive NIS2, les entités concernées sont tenues de mettre en place des mesures de gestion des risques, notamment en matière de continuité. Une hiérarchie documentée aide à orienter les investissements et prépare les décisions de gouvernance.
Construire une méthodologie de BIA utile au plan de continuité
Une fois les seuils définis, le BIA doit produire des décisions compréhensibles et applicables, plutôt qu’un simple inventaire. La direction valide les priorités, tandis que les équipes opérationnelles vérifient que les réponses proposées correspondent au terrain.
Organiser la collecte, l’analyse et la validation
La démarche peut avancer par étapes : préciser le périmètre, interroger les responsables, cartographier les ressources, évaluer les impacts, hiérarchiser puis faire approuver les résultats. Dans une PME, un atelier réunissant la production, les ventes et l’informatique peut révéler qu’un fournisseur unique conditionne plusieurs activités prioritaires.
Le dossier final présente les activités critiques, leurs dépendances, les seuils retenus et les arbitrages nécessaires. Il devient alors le socle du plan de continuité, qui précise les actions, les responsabilités et les solutions de reprise.
Éviter les erreurs qui fragilisent la résilience organisationnelle
La qualité du résultat dépend autant des échanges que des outils utilisés. Une analyse conçue uniquement par l’informatique peut manquer les contraintes d’approvisionnement, les gestes métier ou les solutions de secours déjà pratiquées.
Vigilances pour maintenir une analyse fiable :
- Associer les responsables métier et les équipes de terrain
- Éviter des délais de reprise identiques pour toutes les activités
- Rechercher les fournisseurs uniques et compétences sans suppléant
- Réviser l’analyse après des changements importants
La cartographie doit être réexaminée régulièrement, notamment après une réorganisation, un déménagement ou une évolution majeure des systèmes. Ainsi, la résilience organisationnelle repose sur des choix actualisés, validés et proportionnés aux conséquences réelles.
Source : Organisation internationale de normalisation, ISO 22301:2019, Sécurité et résilience — Systèmes de management de la continuité d’activité ; Union européenne, règlement (UE) 2022/2554 relatif à la résilience opérationnelle numérique du secteur financier ; Union européenne, directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’Union.
Mieux mesurer le risque, pour décider plus sereinement
Qu'il s'agisse de CVA, de régulation bancaire, de dérivés ou de stratégie d'investissement, chaque repère compris est un pas de plus vers une gestion du risque plus rigoureuse et plus lisible. Aucun modèle ne remplace le jugement professionnel, mais il permet d'aborder chaque décision avec plus de clarté.
Pour aller plus loin
- Croiser plusieurs sources et méthodologies avant de conclure sur un niveau de risque
- Documenter les hypothèses de chaque modèle, jamais les considérer comme acquises
- Suivre les évolutions réglementaires qui peuvent changer le cadre du jour au lendemain
- Revoir régulièrement ses estimations plutôt que de les figer une fois pour toutes
