| Les choix stratégiques sont importants. Vous disposez d’une analyse d’impact sur l’entreprise (BIA). Vous avez une analyse des risques (AR). Le moment est-il venu d’élaborer un plan de continuité des activités (PCA) ? La réponse courte est « non ». Sur la base du BIA et de l’AR, il convient de faire des choix stratégiques. Il s’agit de décisions de principe prises par la direction pour indiquer la direction dans laquelle elle souhaite que les solutions soient élaborées. Cela n’est pas sans conséquences et a souvent un coût. | Dans ce texte, je donne mon propre avis, et non celui d’une quelconque organisation. |
Auteur : Manu Steens
Contenu
Prenez votre temps et tenez compte des éléments de base
Prendre le temps d’examiner les options des différentes stratégies permet de s’assurer que
- Vous voyez les avantages et les inconvénients des mesures habituelles.
- Les mesures que vous avez choisies sont bien fondées, solides et réfléchies.
- Vous pouvez choisir les meilleurs outils et mesures coût-bénéfice adaptés à votre situation.
Tenez également compte des éléments suivants lorsque vous faites des choix :
- La sécurité du personnel est une priorité absolue.
- Parlez aux membres de l’équipe de gestion de crise (CMT) et de l’équipe de communication de crise (CCT) et ne prenez pas de décision sans tenir compte de leur avis.
- Faire ratifier les choix stratégiques par le plus haut gradé.
Considérez également l’impact, et non les événements. Regroupez un certain nombre d’événements pour créer des plans plus souples. Par exemple, un incendie, une inondation, des alertes à la bombe, des lettres à l’anthrax peuvent déclencher une « absence d’accès au bâtiment ». Vous pouvez ensuite l’utiliser en tout ou en partie dans plusieurs situations, voire en combinaison avec d’autres scénarios.
Mais que sont exactement les choix stratégiques ? Que peut-on choisir ?
Quels sont les choix stratégiques ?
Pour chaque situation problématique dans votre BIA et votre AR, vous devez prendre une décision sur ce qu’il convient de faire. De facto, il existe six stratégies possibles :
- Ne rien faire
- Obtenir une assurance
- Transférer le processus par le biais de l’externalisation
- Réduire les risques
- Créer un PCA
- Une combinaison de certaines des options ci-dessus
Chacune des cinq options de base présente des avantages et des inconvénients. J’en présente quelques-uns ici :
| Option de base | avantages | contre |
| ne rien faire – accepter le risque et la possibilité d’un arrêt du processus | bon marchéfacile | le processus peut s’arrêterabus de confiance, atteinte à la réputation |
| prendre une assurance | relativement facilel’argent peut compenser | Le processus n’a pas de suite immédiatepeut-être coûteuxabus de confiance, atteinte à la réputation |
| déplacer le processus par le biais de l’externalisation | fait peser le risque et la responsabilité sur une autre personne | n’est pas protégé si un risque survient pour cette autre personne |
| Réduire les risques – prendre des mesures qui agissent sur la probabilité et l’impact | peut-être rentable et efficace en termes de coûtspeut privilégier d’autres responsabilités | peut-être coûteuxpeut nécessiter du personnel et des ressources |
| créer un PCA – prendre des mesures pour exécuter le processus ailleurs ou d’une manière différente | la continuité de manière flexible | peuvent nécessiter des mesures nouvelles ou différentes. |
La décision finale consiste à mettre en balance les coûts et les avantages, et le coût de l’inaction. Et cette décision, heureusement, vous n’avez pas à la prendre seul. Car en fin de compte, vous devez consulter les personnes dont le sujet relève de leur domaine d’expertise quotidien. Ce faisant, n’oubliez pas que le coût n’est pas toujours financier. Il peut s’agir d’argent, mais aussi de vies, de confiance, de réputation, de perte de fournisseurs, de perte d’opportunités….
Pour quoi devez-vous faire des choix stratégiques ?
Les stratégies résultant de l’évaluation des incidences sur l’environnement et de l’évaluation des risques peuvent comprendre : (liste non exhaustive)
- Les personnes
- Chacun doit savoir que la sécurité du personnel passe avant tout.
- Tout le monde doit savoir ce qu’il faut faire et où trouver les instructions.
- La rotation des tâches vous permet de prendre le relais d’un collègue.
- …
- Terrains et bâtiments
- Lieux de récupération internes à l’organisation ou externes
- Télétravail
- Utilisation d’un concurrent
- Site de reprise après sinistre disponible
- …
- Fournisseurs
- Constituer un stock de réserve
- Exigez une continuité de la part de votre fournisseur
- Peut-il facilement accoucher à un autre endroit ?
- Apprendre à connaître ses pairs
- …
- Informations
- Assurer la confidentialité, l’intégrité et la disponibilité des données.
- Envisager des médias autres que numériques.
- …
- Technologie
- Manipuler le principe de la sécurité intégrée
- Assurer le basculement des machines
- Aligner les délais d’exécution des machines sur les accords de niveau de service (SLA) en matière de maintenance.
- Veillez à ce que les sauvegardes ne subissent pas la même menace.
- Assurer l’accès à distance.
- …
- Réputation
- Assurer une communication efficace et efficiente avec toutes les parties et les gérer.
- …
- …
Quelques exemples de mesures stratégiques :
| Option stratégique | Description option stratégique |
| PCA | Des plans visant à déterminer ce qu’il convient de faire en cas d’interruption de ces processus/activités. Cela comprend également les communications d’urgence. |
| Site froid | Il s’agit d’un site qui est disponible et apte à prendre en charge les TIC, typiquement la salle des serveurs, mais qui a besoin de temps pour basculer entre autres parce qu’il n’a pas encore démarré. |
| Emplacement des sauvegardes de données | C’est là que sont conservées les sauvegardes de données. Il est séparé de l’emplacement de stockage des données. Veillez à ce qu’une menace pesant sur les données primaires n’entraîne pas facilement une menace pour les sauvegardes. |
| Hot Site | Il s’agit d’un site prêt à être utilisé par ICT à toute heure du jour ou de la nuit. Le passage à ce site peut se faire immédiatement et est pratiquement transparent. |
| Sites multiples | Il est parfois avantageux, d’un point de vue géographique, d’avoir plus d’un site. L’essentiel est alors d’organiser les sites de manière à ce qu’ils puissent prendre en charge la surcharge ou les tâches de l’un ou l’autre en cas de besoin. |
| Accords de réciprocité | Il s’agit d’accords dans lesquels deux processus ou activités/organisations conviennent d’échanger des ressources en fonction des besoins et de ce qui est possible, si l’un d’entre eux se trouve dans une situation où il en a besoin. Les deux parties conviennent de réduire ou d’arrêter leurs activités. Ceci lorsque les processus de l’autre partie ont été endommagés ou interrompus, dans le but de fournir les ressources nécessaires. |
| Lieu de récupération | Il s’agit d’un lieu conçu pour le redémarrage d’un processus spécifique. Il peut s’agir d’un lieu interne ou situé dans le périmètre d’une autre organisation. |
| Télétravail | Donner la possibilité aux employés de travailler dans un lieu autre que le bureau. Il s’agit souvent de travail à domicile. |
| Accords de niveau de service | Accords qui déterminent la durée pendant laquelle une partie (contractuelle) doit fournir un service, et les spécifications à respecter. |
| Résilience de la chaîne d’approvisionnement | Connaître d’autres fournisseurs pour l’ensemble du matériel, des logiciels et des services nécessaires. |
| Basculement technologique | Disposer de systèmes capables de prendre en charge les tâches des uns et des autres en cas de menace pesant sur l’un d’entre eux. |
| Stock entreposé | Stocker les produits et les composants hors site afin de garantir leur approvisionnement si le site principal est touché par une menace. |
| Site chaleureux | Un site qui est prêt à être utilisé mais qui nécessite quelques actions de routine mineures pour en faire un site chaud. Il peut s’agir d’installer des équipements et de déplacer des ressources sur ce site dans un délai très court. |
| Inventaire | Cartographier tous les processus ainsi que les infrastructures et équipements critiques et créer des manuels si nécessaire. |