Après cette lecture, vous saurez mener un BIA avec les responsables d'activité et en tirer des objectifs de reprise que l'entreprise défendra.
Définition
La clause 8.2.2 de l'ISO 22301 demande de définir les types d'impact, de les évaluer dans le temps, d'identifier les activités qui soutiennent les produits et services prioritaires, et de fixer le délai dans lequel chacune doit reprendre.
Le NIST SP 800-34 suit trois étapes : déterminer les processus et leur criticité de reprise, identifier les ressources dont ils ont besoin, et identifier les priorités de reprise.
Pourquoi c'est important
Sans BIA, les budgets de reprise suivent souvent celui qui parle le plus fort. Avec un BIA, l'argent va à ce qui ferait vraiment mal.
Chaque objectif de reprise de chaque plan ultérieur vient de ce travail.
Comment ça fonctionne
Listez les activités avec leurs responsables, et choisissez les types d'impact qui comptent pour vous : financier, clients, juridique, réputation, sécurité des personnes.
Pour chaque activité, estimez l'impact à des paliers comme 4 heures, 1 jour, 3 jours et 1 semaine. Cette courbe montre le moment où le dommage devient inacceptable ; fixez alors la durée maximale d'interruption admissible (RTO) et la perte de données maximale admissible (RPO).
Notez ce dont chaque activité a besoin pour fonctionner : personnes, systèmes, données, fournisseurs, sites. La direction approuve ensuite les résultats, car ils fixent des priorités entre départements.
Un cas concret
La facturation chez un grossiste : aucun impact pendant 2 jours, des retards de paiement dès le 3e jour, un problème de trésorerie après le 7e. L'entreprise peut tolérer 5 jours au plus et fixe un objectif de reprise de 3 jours.
La prise de commandes est très différente, avec 40 000 € de ventes perdues par jour dès la première heure. Elle tolère 8 heures et reçoit un objectif de 4, ce qui la place en tête pour le budget de reprise.
Bonnes pratiques
- Interrogez les personnes qui font tourner chaque activité. Elles connaissent les solutions de repli que personne n'a écrites.
- Utilisez les chiffres de la finance chaque fois que possible.
- Tenez compte des pics : une panne la semaine de clôture mensuelle est un tout autre événement.
- Consignez les dépendances envers les fournisseurs et les autres départements.
Erreurs fréquentes
- Classer chaque activité comme critique. Les responsables défendent leurs équipes, et le résultat ne priorise rien.
- Fonder les objectifs sur ce que l'informatique sait faire aujourd'hui, alors que le but est d'apprendre ce dont l'entreprise a besoin.
- Confondre le BIA avec une appréciation des risques. Il regarde les conséquences, quelle qu'en soit la cause.
- Laisser une seule personne deviner les impacts pour tous les départements.
Questions
- Quelle différence entre un BIA et une appréciation des risques ?
- Un BIA demande ce qui se passe si une activité s'arrête. Une appréciation des risques demande ce qui pourrait l'arrêter et avec quelle probabilité.
- Qu'est-ce que la durée maximale d'interruption tolérable ?
- Le temps au-delà duquel l'impact de la non-reprise devient inacceptable. La clause 8.2.2 de l'ISO 22301 demande ce délai, et l'objectif de délai de reprise est fixé à l'intérieur.
- Qui approuve un BIA ?
- La direction générale, car il fixe les priorités et les financements entre départements.
- Combien de paliers de temps un BIA doit-il utiliser ?
- En général quatre à six, plus rapprochés au début, là où l'impact évolue le plus vite.
- Peut-on faire un BIA sans ateliers ?
- Un questionnaire peut recueillir les premières réponses, mais les impacts doivent encore être discutés avec les responsables et comparés entre départements.