Archives des Gestion des risques

Les choix stratégiques sont importants. Vous disposez d'une analyse d'impact sur l'entreprise (BIA). Vous avez une analyse des risques (AR). Le moment est-il venu d'élaborer un plan de continuité des activités (PCA) ? La réponse courte est "non". Sur la base du BIA et de l'AR, il convient de faire des choix stratégiques. Il s'agit de décisions de principe prises par la direction pour indiquer la direction dans laquelle elle souhaite que les solutions soient élaborées. Cela n'est pas sans conséquences et a souvent un coût.Dans ce texte, je donne mon propre avis, et non celui d'une quelconque organisation. Auteur : Manu Steens ContenuPrenez votre temps et tenez compte des éléments de baseQuels sont les choix stratégiques ?Pour quoi devez-vous faire des choix stratégiques ?Quelques exemples de mesures stratégiques : Prenez votre temps et tenez compte des éléments de base Prendre le temps d'examiner les options des différentes stratégies permet de s'assurer que Vous voyez les avantages et les inconvénients des mesures habituelles. Les mesures que vous avez choisies sont bien fondées, solides et réfléchies. Vous pouvez choisir les meilleurs outils et mesures coût-bénéfice adaptés à votre situation. Tenez également compte des éléments suivants lorsque vous faites des choix : La sécurité du personnel est une priorité absolue. Parlez aux membres de l'équipe de gestion de crise (CMT) et de l'équipe de communication de crise (CCT) et ne prenez pas de décision sans tenir compte de leur avis. Faire ratifier les choix stratégiques par le plus haut gradé. Considérez également l'impact, et non les événements. Regroupez un certain nombre d'événements pour créer des plans plus souples. Par exemple, un incendie, une inondation, des alertes à la bombe, des lettres à l'anthrax peuvent déclencher une "absence d'accès au bâtiment". Vous pouvez ensuite l'utiliser en tout ou en partie dans plusieurs situations, voire en combinaison avec d'autres scénarios. Mais que sont exactement les choix stratégiques ? Que peut-on choisir ? Quels sont les choix stratégiques ? Pour chaque situation problématique dans votre BIA et votre AR, vous devez prendre une décision sur ce qu'il convient de faire. De facto, il existe six stratégies possibles : Ne rien faire Obtenir une assurance Transférer le processus par le biais de l'externalisation Réduire les risques Créer un PCA Une combinaison de certaines des options ci-dessus Chacune des cinq options de base présente des avantages et des inconvénients. J'en présente quelques-uns ici : Option de baseavantagescontrene rien faire - accepter le risque et la possibilité d'un arrêt du processusbon marchéfacilele processus peut s'arrêterabus de confiance, atteinte à la réputationprendre une assurancerelativement facilel'argent peut compenserLe processus n'a pas de suite immédiatepeut-être coûteuxabus de confiance, atteinte à la réputationdéplacer le processus par le biais de l'externalisationfait peser le risque et la responsabilité sur une autre personnen'est pas protégé si un risque survient pour cette autre personneRéduire les risques - prendre des mesures qui agissent sur la probabilité et l'impactpeut-être rentable et efficace en termes de coûtspeut privilégier d'autres responsabilitéspeut-être coûteuxpeut nécessiter du personnel et des ressourcescréer un PCA - prendre des mesures pour exécuter le processus ailleurs ou d'une manière différentela continuité de manière flexiblepeuvent nécessiter des mesures nouvelles ou différentes. La décision finale consiste à mettre en balance les coûts et les avantages, et le coût de l'inaction. Et cette décision, heureusement, vous n'avez pas à la prendre seul. Car en fin de compte, vous devez consulter les personnes dont le sujet relève de leur domaine d'expertise quotidien. Ce faisant, n'oubliez pas que le coût n'est pas toujours financier. Il peut s'agir d'argent, mais aussi de vies, de confiance, de réputation, de perte de fournisseurs, de perte d'opportunités.... Pour quoi devez-vous faire des choix stratégiques ? Les stratégies résultant de l'évaluation des incidences sur l'environnement et de l'évaluation des risques peuvent comprendre : (liste non exhaustive) Les personnesChacun doit savoir que la sécurité du personnel passe avant tout.Tout le monde doit savoir ce qu'il faut faire et où trouver les instructions.La rotation des tâches vous permet de prendre le relais d'un collègue. ... Terrains et bâtimentsLieux de récupération internes à l'organisation ou externesTélétravailUtilisation d'un concurrentSite de reprise après sinistre disponible ... FournisseursConstituer un stock de réserveExigez une continuité de la part de votre fournisseurPeut-il facilement accoucher à un autre endroit ?Apprendre à connaître ses pairs ... InformationsAssurer la confidentialité, l'intégrité et la disponibilité des données.Envisager des médias autres que numériques. ... TechnologieManipuler le principe de la sécurité intégréeAssurer le basculement des machinesAligner les délais d'exécution des machines sur les accords de niveau de service (SLA) en matière de maintenance.Veillez à ce que les sauvegardes ne subissent pas la même menace.Assurer l'accès à distance. ... RéputationAssurer une communication efficace et efficiente avec toutes les parties et les gérer. ... ... Quelques exemples de mesures stratégiques : Option stratégiqueDescription option stratégiquePCADes plans visant à déterminer ce qu'il convient de faire en cas d'interruption de ces processus/activités. Cela comprend également les communications d'urgence.Site froidIl s'agit d'un site qui est disponible et apte à prendre en charge les TIC, typiquement la salle des serveurs, mais qui a besoin de temps pour basculer entre autres parce qu'il n'a pas encore démarré.Emplacement des sauvegardes de donnéesC'est là que sont conservées les sauvegardes de données. Il est séparé de l'emplacement de stockage des données. Veillez à ce qu'une menace pesant sur les données primaires n'entraîne pas facilement une menace pour les sauvegardes.Hot SiteIl s'agit d'un site prêt à être utilisé par ICT à toute heure du jour ou de la nuit. Le passage à ce site peut se faire immédiatement et est pratiquement transparent.Sites multiplesIl est parfois avantageux, d'un point de vue géographique, d'avoir plus d'un site. L'essentiel est alors d'organiser les sites de manière à ce qu'ils puissent prendre en charge la surcharge ou les tâches de l'un ou l'autre en cas de besoin.Accords de réciprocitéIl s'agit d'accords dans lesquels deux processus ou activités/organisations conviennent d'échanger des ressources en fonction des besoins et de ce qui est possible, si l'un d'entre eux se trouve dans une situation où il en a besoin. Les deux parties conviennent de réduire ou d'arrêter leurs activités. Ceci lorsque les processus de l'autre partie ont été endommagés ou interrompus, dans le but de fournir les ressources nécessaires.Lieu de récupérationIl s'agit d'un lieu conçu pour le redémarrage d'un processus spécifique. Il peut s'agir d'un lieu interne ou situé dans le périmètre d'une autre organisation.TélétravailDonner la possibilité aux employés de travailler dans un lieu autre que le bureau. Il s'agit souvent de travail à domicile.Accords de niveau de serviceAccords qui déterminent la durée pendant laquelle une partie (contractuelle) doit fournir un service, et les spécifications à respecter.Résilience de la chaîne d'approvisionnementConnaître d'autres fournisseurs pour l'ensemble du matériel, des logiciels et des services nécessaires.Basculement technologiqueDisposer de systèmes capables de prendre en charge les tâches des uns et des autres en cas de menace pesant sur l'un d'entre eux.Stock entreposéStocker les produits et les composants hors site afin de garantir leur approvisionnement si le site principal est touché par une menace.Site chaleureuxUn site qui est prêt à être utilisé mais qui nécessite quelques actions de routine mineures pour en faire un site chaud. Il peut s'agir d'installer des équipements et de déplacer des ressources sur ce site dans un délai très court.InventaireCartographier tous les processus ainsi que les infrastructures et équipements critiques et créer des manuels si nécessaire.