Un plan de continuité d’activité, souvent appelé PCA, décrit les mesures à prendre pour maintenir les activités essentielles lorsqu’un événement perturbe fortement l’entreprise. Il peut s’agir d’une panne informatique, d’une cyberattaque, d’un incendie, d’une coupure prolongée d’électricité, d’une indisponibilité des locaux, d’une rupture d’approvisionnement ou de l’absence simultanée de plusieurs personnes clés.
Le PCA ne consiste pas à prévoir tous les scénarios ni à rédiger un document compliqué. Son objectif est plus concret : permettre de décider rapidement quoi faire, avec quelles ressources et dans quel ordre. Pour une petite structure, quelques pages opérationnelles, régulièrement mises à jour et connues des personnes concernées, peuvent être plus utiles qu’un dossier volumineux jamais testé.
La démarche doit distinguer la continuité d’activité de la reprise d’activité. La continuité vise le maintien des fonctions prioritaires pendant la perturbation. La reprise concerne le retour progressif à un fonctionnement normal après l’événement. Les deux approches se complètent, mais elles ne répondent pas exactement aux mêmes questions.
La première étape consiste à ne pas traiter l’entreprise comme un ensemble uniforme. Toutes les activités n’ont pas le même degré d’urgence. Il faut identifier celles qui doivent continuer, même en mode dégradé, et celles qui peuvent être suspendues temporairement.
Pour chaque activité, posez les questions suivantes :
Classez ensuite les activités en trois catégories : priorité immédiate, priorité différée et activité suspendable. Une entreprise de réparation peut, par exemple, donner la priorité aux interventions déjà engagées et à la sécurité des équipements, tandis que sa communication commerciale peut être temporairement réduite.
Cette hiérarchisation évite une erreur fréquente : vouloir tout maintenir en même temps avec des ressources insuffisantes. En situation de crise, le PCA doit aider à arbitrer.
L’analyse des risques sert à repérer les événements capables d’interrompre une activité prioritaire. Elle peut être menée lors d’un atelier d’une à deux heures avec les personnes qui connaissent réellement le fonctionnement quotidien de l’entreprise.
Examinez au minimum les familles de risques suivantes :
Pour chaque risque, estimez simplement la probabilité, l’impact et le délai acceptable d’interruption. Une échelle de un à trois suffit si elle est expliquée. L’objectif n’est pas d’obtenir une note scientifique, mais de faire émerger les dépendances les plus dangereuses.
Une activité ne s’arrête pas toujours à cause de son propre outil. Elle peut dépendre d’un mot de passe détenu par une seule personne, d’un fournisseur unique, d’un serveur situé dans un local inaccessible ou d’un compte bancaire dont aucun autre responsable ne connaît les modalités d’accès.
Réalisez une fiche par activité prioritaire avec les rubriques suivantes :
Cette cartographie permet de repérer les points de défaillance uniques. Si une seule personne sait établir les devis, accéder au logiciel ou contacter un fournisseur stratégique, la continuité est fragile. La solution peut être une procédure écrite, une formation croisée, une délégation d’accès ou un contrat de remplacement.
Les accès doivent toutefois rester sécurisés. La CNIL recommande de limiter les habilitations aux besoins réels et de protéger les données personnelles. Il ne faut donc pas créer un compte partagé ou diffuser les mots de passe dans un document non protégé au seul motif de préparer une situation d’urgence.
Le PCA doit traduire les priorités en objectifs mesurables. Deux notions sont particulièrement utiles : le délai maximal d’interruption acceptable et le délai cible de reprise. Le premier correspond à la durée au-delà de laquelle l’arrêt devient trop préjudiciable. Le second indique le temps visé pour remettre une fonction en service, même partiellement.
Ajoutez, lorsque cela est pertinent, un objectif de perte de données acceptable. Une entreprise peut accepter de ressaisir quelques heures de commandes, mais pas de perdre plusieurs semaines de facturation ou des dossiers clients complets. Ces choix dépendent de l’activité, des contrats, des obligations légales et des moyens disponibles.
Un tableau de synthèse peut prendre cette forme :
| Activité prioritaire | Interruption maximale | Solution dégradée | Responsable |
|---|---|---|---|
| Prise de commandes | Une journée ouvrée | Formulaire papier ou adresse électronique de secours | Responsable commercial |
| Facturation | Quelques jours | Modèle sécurisé et export comptable | Gestion administrative |
| Production | Selon les commandes en cours | Réorganisation ou sous-traitance préalablement identifiée | Responsable opérationnel |
| Relation client | Un à deux jours | Message d’information et numéro de contact secondaire | Dirigeant ou suppléant |
Les délais de ce tableau sont des exemples de construction, pas des normes générales. Chaque entreprise doit les déterminer à partir de ses contraintes réelles.
Une bonne solution de secours est connue à l’avance, accessible et suffisamment simple pour être appliquée sous pression. Elle peut être temporaire et moins confortable que le fonctionnement habituel, à condition de préserver les activités essentielles.
Pour le numérique, prévoyez des sauvegardes régulières, séparées du poste de travail et testées par une restauration réelle. L’Agence nationale de la sécurité des systèmes d’information, l’ANSSI, recommande une stratégie de sauvegarde adaptée aux risques, avec une attention particulière portée à l’isolement des copies et à la vérification de leur exploitabilité. Une sauvegarde dont personne ne sait restaurer les données ne constitue pas une solution opérationnelle.
Pour les locaux, identifiez un lieu de repli ou une organisation temporaire à distance lorsque cela est compatible avec l’activité. Vérifiez les conditions d’accès aux outils, la disponibilité du matériel et les règles de confidentialité. Pour les fournisseurs, préparez une liste de solutions alternatives, mais ne vous contentez pas de noms : précisez les produits concernés, les délais, les conditions de commande et les éventuelles limites de capacité.
Pour les personnes, formalisez les tâches essentielles et les procédures courtes. Une fiche de continuité peut expliquer comment enregistrer une commande, éditer une facture, prévenir un client ou sécuriser un équipement. Elle doit être compréhensible par une personne formée, sans dépendre de la mémoire du dirigeant.
Dans les premières heures, la confusion vient souvent de l’absence de rôle clairement attribué. Le PCA doit donc préciser qui déclenche le dispositif, qui évalue la situation, qui décide des priorités et qui communique avec les parties prenantes.
Définissez une chaîne courte :
Préparez une liste de contacts accessible hors du système informatique principal. Elle peut contenir les coordonnées des salariés, prestataires, assureurs, propriétaires des locaux, fournisseurs critiques et interlocuteurs clients concernés. Les données personnelles qui y figurent doivent être limitées à ce qui est nécessaire, conservées de manière sécurisée et tenues à jour.
Les messages externes doivent rester factuels : ce qui est indisponible, les conséquences connues, la solution temporaire et la prochaine heure de mise à jour. Évitez de confirmer une cause qui n’est pas vérifiée ou de promettre un délai impossible à tenir.
La continuité ne doit pas conduire à négliger la sécurité. En cas de panne ou d’attaque, utiliser rapidement un poste personnel, transférer des fichiers vers une messagerie non maîtrisée ou désactiver les contrôles peut aggraver l’incident.
Le plan doit préciser les premiers réflexes : isoler un équipement suspect, ne pas effacer les traces, conserver les messages ou journaux utiles, prévenir le prestataire compétent et changer les accès compromis depuis un appareil sûr. Pour les données personnelles, la CNIL rappelle qu’une violation peut nécessiter une documentation et, dans certains cas, une notification à l’autorité compétente dans un délai réglementaire. L’analyse dépend des circonstances et mérite l’avis d’un professionnel lorsque l’incident est sérieux.
Prévoyez aussi un inventaire des données : fichiers clients, contrats, données de paie, documents comptables, plans, créations et informations fournisseurs. Pour chaque catégorie, indiquez où elle est stockée, qui y accède, comment elle est sauvegardée et combien de temps elle doit être conservée. Cette discipline facilite à la fois la reprise et le respect du Règlement général sur la protection des données.
Un PCA non testé reste une hypothèse. Le premier exercice peut être très simple : réunir les personnes concernées et simuler l’indisponibilité du logiciel métier pendant une demi-journée. Demandez à chacun d’expliquer ce qu’il ferait, avec quels documents et selon quel ordre.
Organisez ensuite des tests plus pratiques : restauration d’un fichier sauvegardé, activation d’un numéro secondaire, travail depuis un lieu de repli ou recours à un fournisseur alternatif. Ne testez pas un système de production de manière risquée sans précaution technique. L’exercice doit être préparé, limité et suivi d’un compte rendu.
Mesurez notamment :
Après chaque test, corrigez le document. Une procédure trop longue, un contact obsolète ou une sauvegarde impossible à restaurer doivent être traités comme des écarts prioritaires, pas comme de simples détails rédactionnels.
Le plan doit être révisé lorsqu’un changement modifie les dépendances de l’entreprise : nouveau logiciel, déménagement, recrutement, départ d’une personne clé, changement de fournisseur, achat d’une machine ou évolution de l’offre. Une revue périodique permet aussi de vérifier les contacts, les contrats, les assurances, les sauvegardes et les niveaux d’accès.
Conservez une version opérationnelle, courte et datée. Indiquez la personne qui en est responsable, la date de la prochaine revue et la localisation de la version protégée. Une copie hors ligne ou imprimée peut être utile si l’accès aux outils numériques est interrompu, mais elle doit être contrôlée pour éviter la diffusion de données sensibles.
Le PCA peut également faire apparaître des actions de prévention : diversifier un fournisseur, documenter une compétence, renforcer l’authentification, sécuriser un local, prévoir un stock minimal ou négocier une clause de continuité. Le document devient alors un outil de gestion des fragilités, et non un dossier rangé après sa rédaction. Les aspects d’assurance, de droit du travail, de protection des données, de contrats et de responsabilité doivent être vérifiés avec les professionnels compétents lorsque les enjeux le justifient.
Il n’existe pas une obligation générale et identique applicable à toutes les petites entreprises. En revanche, certains secteurs, contrats ou exigences de sécurité peuvent imposer des mesures particulières. Le dirigeant reste responsable de la bonne organisation de son activité et doit examiner ses obligations avec un professionnel lorsque la situation l’exige.
Il n’y a pas de longueur idéale. Le document doit contenir les informations nécessaires pour décider, contacter les bonnes personnes et maintenir les activités prioritaires. Une fiche d’urgence, une cartographie des dépendances et quelques procédures peuvent suffire au départ, si elles sont fiables et testées.
Pas nécessairement. Plusieurs risques produisent les mêmes conséquences, comme l’indisponibilité du local ou la perte d’un outil numérique. Il est souvent plus efficace de préparer des réponses par conséquence : travailler ailleurs, restaurer les données, remplacer une personne ou poursuivre la relation client en mode dégradé.
Le PCA doit désigner un suppléant et préciser ses pouvoirs opérationnels. Les procédures, accès et coordonnées nécessaires doivent être disponibles dans un cadre sécurisé. Les délégations juridiques ou bancaires doivent être vérifiées séparément, car une consigne interne ne remplace pas une délégation valable.
Une revue annuelle constitue un repère pratique, mais une mise à jour doit intervenir dès qu’un changement important affecte l’organisation. Après chaque exercice ou incident réel, consignez les enseignements et corrigez les procédures concernées.