BCM – Comment déterminez-vous la criticité d’un processus dans une BIA?

Auteurs: Joris Bouve et Manu Steens

Dans BCM (management de la continuité des activités), on discute beaucoup de processus temps-critiques (TCP), de processus essentiels (EP) et de processus nécessaires (NP).
Typiquement on utilise comme définition:

• TCP: processus à redémarrer dans un délai de deux jours ouvrables;
  
• EP: processus qui ne doivent pas redémarrer dans un délai de deux jours mais dans un délai de deux semaines;
  
• NP: les processus qui ne doivent pas redémarrer dans les deux semaines, mais dans les deux mois.

A quel point un processus est critique peut également être déterminé de manière différente: si l’impact d’une interruption trop longue (par exemple> 2 jours) devient trop gros, alors vous devez recommencer le processus rapidement (par exemple, dans <2 jours).

La question ici est: comment déterminez-vous la criticité d’un processus?

Procédez comme suit (voir tableau ci-dessous):

• Répertoriez les processus dans la colonne [processus];
  
• Déterminez l’impact sur votre service si le processus menace de tomber dans les colonnes suivantes.
  
  • Si l’impact est tel que le service est sérieusement compromis en cas de panne qui durerait plus de 2 jours ou s’il existe une disposition légale nécessitant un redémarrage dans un délai de 2 jours, décrivez cet impact dans la colonne [impact si annulation> 2 jours]. Il existe alors un processus critique. Dans la colonne [criticité du processus], entrez TCP.
    
  • Si cet impact est faible, entrez « nil » dans la colonne [impact si annulation> 2 jours]. Vous pouvez également indiquer ici les mesures que vous allez prendre pour minimiser l’effet ou comment vous pouvez quand même garantir le service voulu.
    
  • Si l’impact de cette nature est que le service est sérieusement compromis en cas de panne qui durerait plus de 2 semaines ou s’il existe une disposition légale nécessitant un redémarrage dans un délai de 2 semaines, décrivez cet impact dans la colonne [impact si abandon> 2 semaines]. Il y a alors un processus essentiel. Dans la colonne [criticité du processus], entrez EP.
    
  • Si cet impact est faible, entrez « nil » dans la colonne [impact si annulation> 2 semaines]
    
  • Si l’impact est tel que le service est sérieusement compromis en cas de panne qui durerait plus de 2 mois ou s’il existe une disposition légale nécessitant un redémarrage dans un délai de 2 semaines, décrivez cet impact dans la colonne [impact si interruption> 2 mois]. Il y a alors un processus nécessaire. Dans la colonne [criticité du processus], entrez NP.

Dans la colonne [les dépendances], indiquez les compétences, les moyens logistiques, les ressources informatiques,… dont vous avez besoin.
Comme décrit au point 2), vous entrez dans la colonne [criticité du processus] à quelle catégorie appartient le processus: temps critique, essentiel, nécessaire.

Deux exemples:

• Processus de gestion de crise. Si cela ne commence qu’après une heure, des problèmes de réputation graves peuvent déjà être causés, par exemple, par une communication incorrecte dans le support. Il faut donc certainement commencer dans les deux jours. Vous pouvez placer ce commentaire (RTO = 1h) (objectif de temps de récupération) dans la colonne « Impact sous> 2 jours ». Les 2 colonnes à côté ne doivent plus être remplies. Dans la colonne des dépendances, vous mettez par exemple les expertises, la salle de réunion, les ordinateurs portables, les smartphones, les outils de communication, etc. Dans la dernière colonne, vous indiquez le type de processus choisi, dans ce cas TCP.
• Le processus X doit pouvoir démarrer dans les 5 jours du mois d’août, sinon une règle de la loi peut être violée, avec amendes associées et atteinte à la réputation. Ce commentaire peut ensuite être placé dans la colonne « Impact à plus de 2 semaines » et vous choisissez le type de processus « EP ». Dans la colonne « Impact sur> 2 jours », vous pouvez indiquer « néant » ou, par exemple, vous devrez effectuer quelques heures supplémentaires après. Dans les dépendances, vous pouvez, par exemple, écrire une communication avec la banque, un employé administratif et le bon logiciel.

Ce choix de type de processus (TCP, EP ou NP) peut ensuite être adopté seul à seul dans l’analyse de l’impact sur les entreprises (BIA). Les dépendances peuvent également être prises en charge.