Business Continuity

  • Concept
  • Intermédiaire
  • Transversal
  • Toujours utilisé

En bref

La continuité d'activité (Business Continuity) regroupe les mesures qui permettent à une organisation de continuer ou reprendre vite après un incident grave.

Définition complète

La continuité d’activité (Business Continuity) regroupe l’ensemble des mesures qu’une organisation met en place pour continuer à fonctionner, ou reprendre son activité le plus vite possible, après un incident grave : incendie, panne informatique majeure, cyberattaque, inondation, pandémie ou perte d’un fournisseur clé. L’outil central de cette démarche s’appelle souvent le plan de continuité d’activité (PCA).

Exemple concret : un cabinet comptable stocke ses dossiers clients uniquement sur un ordinateur au bureau. Un dégât des eaux détruit le matériel : sans sauvegarde externe, l’activité s’arrête plusieurs semaines. Avec un plan de continuité (sauvegarde automatique dans le cloud, accès à distance possible), le cabinet aurait pu reprendre le travail dès le lendemain depuis un autre poste.

Attention : la continuité d’activité ne concerne pas seulement l’informatique. Elle couvre aussi les locaux, le personnel clé, les fournisseurs critiques et les documents papier indispensables.

À quoi ça sert

La continuité d’activité sert à limiter les conséquences d’un événement grave et imprévisible sur le fonctionnement d’une organisation. Sans préparation, un incident qui aurait pu être géré en quelques heures peut se transformer en fermeture de plusieurs semaines, voire en disparition pure et simple de l’activité.

Elle aide à identifier à l’avance les activités vraiment critiques (celles qu’il faut absolument maintenir) et à distinguer celles qui peuvent attendre quelques jours sans conséquence grave. Cette hiérarchisation permet de concentrer les efforts et les moyens là où c’est vraiment nécessaire plutôt que de vouloir tout protéger de façon identique.

Elle rassure également les partenaires (clients, banques, assureurs, fournisseurs) qui savent qu’une organisation préparée à l’imprévu est un partenaire plus fiable sur le long terme, en particulier dans les secteurs sensibles comme la santé, la finance ou les services publics.

Cas d'usage typiques

– Sauvegarder : les données essentielles de l’entreprise sont-elles copiées ailleurs qu’au même endroit physique que l’original ? Permet de reprendre l’activité après un sinistre local.
– Identifier les activités critiques : quelles tâches doivent absolument continuer même en cas de crise majeure ? Permet de prioriser les efforts de préparation.
– Prévoir un site de repli : où l’équipe peut-elle travailler si les locaux habituels deviennent inaccessibles ? Permet d’éviter un arrêt total de l’activité.
– Tester un scénario de panne informatique : combien de temps faudrait-il pour redémarrer les outils numériques essentiels ? Permet de mesurer un délai de reprise réaliste.
– Sécuriser les fournisseurs critiques : que se passe-t-il si un fournisseur unique fait défaut brutalement ? Permet d’anticiper une solution de secours.
– Former le personnel : chaque salarié sait-il qui contacter et quoi faire en cas d’incident grave ? Permet une réaction rapide et coordonnée plutôt que de la panique.

Ce que tu sauras faire

Savoir identifier les activités critiques d'une organisation et proposer des mesures concrètes pour limiter l'impact d'un incident grave sur leur fonctionnement.

Mises en situation

Situation 1 : cyberattaque sur un cabinet médical

Contexte : un cabinet médical de groupe voit son logiciel de gestion des rendez-vous et des dossiers patients bloqué par un rançongiciel un lundi matin.

Application : grâce à une sauvegarde quotidienne externe testée régulièrement, l’équipe restaure les données de la veille sur un serveur de secours en quelques heures.

Résultat attendu : les rendez-vous du jour sont maintenus avec un léger retard, alors que sans plan de continuité, le cabinet aurait pu rester bloqué plusieurs jours et perdre des données patients critiques.

Situation 2 : incendie dans un atelier de production

Contexte : un petit fabricant de meubles subit un incendie qui détruit une partie de son atelier.

Application : l’entreprise avait identifié à l’avance un atelier partenaire capable d’accueillir sa production en urgence, et une liste des commandes prioritaires à honorer en premier.

Résultat attendu : les commandes les plus urgentes sont livrées avec seulement quelques jours de retard, ce qui préserve la confiance des clients principaux malgré la gravité du sinistre.

Situation 3 : départ soudain d’un salarié clé

Contexte : dans une petite entreprise de transport, le seul salarié à connaître le logiciel de gestion des tournées démissionne sans préavis long.

Application : comme les procédures avaient été documentées et qu’une deuxième personne avait reçu une formation de secours, l’entreprise continue à organiser ses tournées sans interruption.

Résultat attendu : l’entreprise évite la situation fréquente où un savoir-faire critique repose sur une seule personne, sans aucune solution de repli en cas d’absence.

Application guidée : hiérarchiser les activités critiques

Contexte : une boulangerie-pâtisserie doit lister ses activités : production du pain quotidien, gestion de la comptabilité mensuelle, entretien du site internet, préparation des commandes de mariage réservées plusieurs mois à l’avance.

Question : en cas de panne majeure d’un four pendant une semaine, quelle activité doit être protégée en priorité absolue ?

Résultat attendu : la production du pain quotidien est l’activité vitale immédiate (sans elle, pas de chiffre d’affaires du jour), suivie par les commandes de mariage déjà engagées envers des clients. La comptabilité mensuelle et le site internet peuvent attendre quelques jours sans conséquence grave.

Application guidée : tester un plan de continuité

Contexte : une association de services à la personne a rédigé un plan de continuité il y a deux ans, mais ne l’a jamais testé concrètement depuis.

Question : pourquoi un plan non testé peut-il donner une fausse impression de sécurité, et comment le vérifier ?

Résultat attendu : un logiciel mentionné dans le plan peut avoir changé, un numéro de contact peut être obsolète, une sauvegarde peut ne plus fonctionner sans que personne ne s’en aperçoive. Il faut organiser un exercice simulé (par exemple couper l’accès habituel un après-midi) pour vérifier que les mesures prévues fonctionnent réellement en pratique.

Pour bien le retenir

L'analogie

Imaginez une famille qui prépare un sac d’urgence avec lampe de poche, papiers importants et numéros utiles, au cas où elle devrait quitter son logement rapidement suite à une inondation. Elle espère ne jamais avoir à s’en servir, mais elle sait exactement quoi prendre et où aller si cela arrive. La continuité d’activité, c’est ce même sac d’urgence préparé à l’échelle d’une organisation : on ne prévoit pas la catastrophe pour qu’elle arrive, on la prévoit pour être capable d’y faire face sans tout perdre.

« Le sac d'urgence préparé à l'avance, qu'on espère ne jamais utiliser mais qui sauve tout si le pire arrive. »

Pièges à éviter

À ne pas confondre avec

Une confusion fréquente consiste à limiter la continuité d'activité à la seule sauvegarde informatique. C'est une brique importante, mais une organisation dépend aussi de ses locaux, de ses salariés clés, de ses fournisseurs et de ses documents essentiels, qui doivent tous être pris en compte dans la réflexion.

Un autre piège est de rédiger un plan de continuité une fois, puis de ne jamais le mettre à jour ni le tester. Un plan qui mentionne un ancien logiciel ou un ancien numéro de téléphone d'urgence devient inutile, voire dangereux, s'il donne une fausse impression de sécurité au moment où on en a réellement besoin.

Enfin, certaines petites structures pensent que la continuité d'activité ne concerne que les grandes entreprises. Or, une TPE ou une association peut être encore plus vulnérable à un incident grave, faute de moyens pour absorber un arrêt prolongé de son activité.

Évolution historique

Apparition : Années 1970-1980 (reprise informatique après sinistre), généralisé sous forme de plan structuré dans les années 2000

Quels changements depuis l’arrivée de l’IA ?

L’IA modifie surtout les moyens de détection précoce des risques, tout en ajoutant elle-même de nouveaux types de menaces à couvrir dans un plan de continuité.

Avant

La continuité d’activité se concentrait principalement sur les risques physiques (incendie, dégât des eaux) et sur la panne informatique classique, avec des plans souvent rédigés une fois puis peu mis à jour.

Aujourd’hui

Les organisations doivent aussi intégrer le risque d’une panne ou d’une compromission des outils d’intelligence artificielle dont elles dépendent de plus en plus (service client automatisé, outils de production de contenu, systèmes d’aide à la décision), tout en pouvant s’appuyer sur des outils de surveillance automatisée qui détectent plus vite une anomalie technique annonciatrice d’incident.

Évolution historique

Années 1970-1980 : les premières démarches de reprise après sinistre informatique apparaissent dans les grandes entreprises fortement dépendantes de leurs ordinateurs centraux.

Années 1990 : la notion s’élargit au-delà de l’informatique pour couvrir l’ensemble des activités critiques d’une organisation.

Années 2000 : des normes et référentiels structurent la rédaction de plans de continuité d’activité formalisés, notamment après des événements marquants ayant révélé la fragilité de certaines organisations.

Années 2010 : le cloud et les sauvegardes à distance rendent la continuité d’activité plus accessible aux petites structures, à moindre coût.

Aujourd’hui : la cybersécurité et la dépendance croissante aux outils numériques et à l’IA deviennent des enjeux centraux des plans de continuité les plus récents.