Guide pratique · ISO 22301:2019
La continuité, sans improvisation.
ISO 22301:2019
Un guide de pilotage indépendant : analyse d’impact, stratégies, plans et exercices. Il ne remplace ni le texte officiel ni l’analyse de votre périmètre.
Les clauses, sans superflu.
Une clause à la fois : points à examiner, conseils et exemples de preuves.
Comprendre son contexte et ses obligations
L'esprit de la norme (§4.1 à §4.4) : Avant de planifier la continuité, il faut savoir ce qui peut la menacer, qui attend quoi de vous, quelles règles s’appliquent et quel périmètre vous protégez.
Points à examiner
- Déterminer les enjeux internes et externes qui affectent votre aptitude à poursuivre vos activités (§4.1).
- Identifier les parties intéressées pertinentes et leurs exigences (§4.2.1).
- Mettre en place un processus pour identifier, accéder et évaluer les exigences légales et réglementaires liées à la continuité, puis les documenter et les tenir à jour (§4.2.2).
- Définir le périmètre : parties de l’organisme et produits ou services concernés, avec les exclusions documentées et expliquées (§4.3).
- Établir, mettre en œuvre, maintenir et améliorer le système et ses processus (§4.4).
L'astuce agile
Une fiche d’une page : les cinq produits ou services qui font vivre l’entreprise, les contraintes légales qui s’y rattachent, ce qui est dans le périmètre et pourquoi le reste n’y est pas.
À éviter : Un périmètre « toute l’entreprise » sans les moyens de le tenir. · Exclure sans justification une activité critique.
Exemples de preuves
Porter la continuité
L'esprit de la norme (§5.1 à §5.3) : La direction fixe l’intention : une politique claire, des ressources, des rôles attribués, et la décision sur le niveau de perturbation que l’organisme peut ou non accepter.
Points à examiner
- Intégrer les exigences du système aux processus métier et fournir les ressources nécessaires (§5.1).
- Définir une politique de continuité d’activité qui cadre les objectifs, engage à satisfaire les exigences et à améliorer le système (§5.2.1).
- Rendre la politique disponible en information documentée, la communiquer en interne et la mettre à disposition des parties intéressées si pertinent (§5.2.2).
- Attribuer et communiquer les rôles : conformité du système et compte rendu de sa performance à la direction (§5.3).
L'astuce agile
Une politique d’une demi-page : ce que nous protégeons, jusqu’à quel point, qui décide en cas de crise. Nommez un responsable de la continuité et un suppléant.
À éviter : Une politique générique sans lien avec vos activités critiques. · Un responsable nommé sans suppléant.
Exemples de preuves
Cibler objectifs et changements
L'esprit de la norme (§6.1 à §6.3) : Deux sortes de risques à ne pas confondre : ceux qui touchent l’efficacité du système, traités ici, et ceux qui menacent vos activités, traités dans l’analyse de l’article 8. Il faut aussi des objectifs mesurables et des changements planifiés.
Points à examiner
- Déterminer les risques et opportunités qui pèsent sur l’efficacité du système de management (§6.1.1).
- Planifier les actions pour y répondre et les intégrer aux processus (§6.1.2).
- Établir des objectifs de continuité mesurables si possible, cohérents avec la politique, surveillés, communiqués et mis à jour (§6.2.1).
- Planifier comment les atteindre : actions, ressources, responsable, échéance, évaluation (§6.2.2).
- Planifier les modifications du système : but, conséquences, intégrité du système, ressources, responsabilités (§6.3).
L'astuce agile
Fixez trois objectifs que tout le monde comprend, par exemple reprendre la facturation sous un jour, rétablir la messagerie sous quelques heures, réaliser un exercice par an. Adaptez les délais à votre analyse d’impact.
À éviter : Mélanger le registre des risques de projet et l’analyse des risques de perturbation. · Des objectifs sans délai ni indicateur.
Exemples de preuves
Mobiliser les personnes
L'esprit de la norme (§7.1 à §7.5) : Des ressources, des personnes compétentes et sensibilisées, une communication prévue, et des documents que l’on retrouve quand la crise arrive.
Points à examiner
- Déterminer et fournir les ressources nécessaires au système (§7.1).
- Définir les compétences nécessaires et garder des preuves (§7.2).
- Sensibiliser : politique, contribution à l’efficacité du système, conséquences d’un écart, rôle et responsabilités durant et après une perturbation (§7.3).
- Décider quoi, quand, avec qui, comment communiquer et qui le fait (§7.4).
- Maîtriser les informations documentées : identification, format, revue, accès, protection contre la perte de confidentialité ou d’intégrité, versions, conservation (§7.5).
L'astuce agile
Gardez vos plans et contacts clés hors ligne : version imprimée ou copie sur un support séparé. Un plan de continuité stocké uniquement sur le serveur en panne ne sert à rien.
À éviter : Une base documentaire parfaite mais inaccessible en cas de panne. · Former tout le monde à tout, au lieu de former les équipes de réponse.
Exemples de preuves
Construire la capacité de réponse
L'esprit de la norme (§8.1 à §8.6) : Le cœur de la norme : repérer ce qui est vital, apprécier les risques de perturbation, choisir des solutions, écrire des plans utilisables, s’exercer, puis évaluer. C’est la partie la plus concrète, et celle où le sur-mesure compte le plus.
Points à examiner
- Planifier et maîtriser les processus, maîtriser les modifications prévues et examiner les conséquences des changements non voulus (§8.1).
- Réaliser l’analyse d’impact sur l’activité : types et critères d’impact, activités qui soutiennent produits et services, durée au-delà de laquelle l’impact devient inacceptable, délais de reprise priorisés, ressources et dépendances (§8.2.2).
- Apprécier les risques de perturbation sur les activités prioritaires et leurs ressources : identifier, analyser, évaluer, décider du traitement (§8.2.3).
- Choisir des stratégies et solutions qui couvrent les trois temps d’une perturbation (avant, pendant, après), selon les délais, l’appétit pour le risque, les coûts et les bénéfices (§8.3.1 à §8.3.3).
- Déterminer les ressources (personnes, informations, infrastructure, équipements, technologies, transport, financement, partenaires) et mettre les solutions en œuvre pour qu’elles soient activables (§8.3.4, §8.3.5).
- Mettre en place une structure de réponse avec équipes, suppléants, avertissement et communication (§8.4.2, §8.4.3).
- Documenter des plans de continuité utilisables : activation, rôles, actions, dépendances, ressources, compte rendu, sortie, puis le rétablissement (§8.4.4, §8.4.5).
- Tenir un programme d’exercices et de tests, avec rapports post-exercice formalisés et actions d’amélioration (§8.5).
- Évaluer l’adéquation de la documentation et des capacités, y compris chez les partenaires et fournisseurs (§8.6).
L'astuce agile
Commencez par une analyse d’impact d’une demi-journée sur 5 à 10 activités, dans un seul tableau : activité, impact selon la durée, durée maximale tolérable, délai de reprise visé, ressources, dépendances. Un plan, ce sont 2 pages d’actions, pas un manuel. Un exercice sur table d’une heure et demie par an vaut mieux qu’un plan jamais joué.
Deux sigles à connaître (§8.2.2) : DMTP, la durée maximale tolérable de perturbation, et RTO, l’objectif de délai de rétablissement.
À éviter : Une analyse d’impact sur 200 activités. · Un plan de 150 pages que personne ne sait activer. · Des exercices sans compte rendu ni action.
Exemples de preuves
Mesurer l’efficacité, pas l’existence
L'esprit de la norme (§9.1 à §9.3) : L’enjeu n’est pas d’avoir des plans, mais de savoir s’ils fonctionnent. Mesurer, auditer et revoir le système en direction à partir de faits.
Points à examiner
- Déterminer quoi surveiller et mesurer, avec quelles méthodes, quand et par qui, puis évaluer la performance et l’efficacité du système (§9.1).
- Auditer en interne à intervalles planifiés, avec un programme, des auditeurs objectifs et impartiaux, et des actions correctives sans délai indu (§9.2).
- Préparer la revue de direction : actions précédentes, changements de contexte, performance et tendances, retours des parties intéressées, informations de l’analyse d’impact et du risque, évaluation des capacités, risques mal traités, leçons des presque-incidents et des perturbations (§9.3.2).
- Décider : opportunités d’amélioration, changements de périmètre, mises à jour de l’analyse d’impact, des risques, des stratégies, des plans et des ressources (§9.3.3).
- Garder la preuve des résultats de la revue et les communiquer aux parties intéressées pertinentes (§9.3.3).
L'astuce agile
Calez la revue de direction juste après l’exercice annuel : les leçons nourrissent directement les décisions. Cinq indicateurs suffisent : exercices réalisés, plans à jour, temps de reprise constatés, écarts ouverts, équipes formées.
À éviter : Auditer la continuité sans avoir jamais testé un plan. · Une revue de direction qui ne regarde que les incidents.
Exemples de preuves
Apprendre de chaque exercice
L'esprit de la norme (§10.1 à §10.2) : Corriger les écarts, traiter leurs causes et améliorer en continu, en s’appuyant sur les exercices et sur les incidents réels.
Points à examiner
- Réagir à toute non-conformité : la maîtriser, la corriger et traiter ses conséquences (§10.1).
- Chercher les causes, vérifier si des écarts similaires existent, mettre en œuvre les actions, revoir leur efficacité et modifier le système si nécessaire (§10.1).
- Garder la trace de la nature des écarts, des actions et de leurs résultats (§10.1).
- Améliorer en continu la pertinence, l’adéquation et l’efficacité du système (§10.2).
L'astuce agile
Après chaque exercice ou incident, un retour d’expérience de 30 minutes : ce qui a marché, ce qui a coincé, trois actions maximum avec pilote et date, versées dans le même tableau que les écarts du système.
À éviter : Un retour d’expérience qui cherche des coupables. · Dix actions sans pilote.
Exemples de preuves
Le fil de l’article 8
Six étapes, dans cet ordre.
La norme enchaîne une logique simple : comprendre ce qui est vital, choisir comment le protéger, écrire quoi faire, s’entraîner, puis évaluer.
Repères documentaires
16 points de départ pour votre dispositif.
Ces 16 repères sont une aide méthodologique Viva QSE, pas une liste exhaustive d’obligations. Les informations à établir ou conserver dépendent du référentiel, de vos activités et risques. Vérifiez les exigences dans l’édition officielle applicable.
Exigences légales et réglementaires
Processus d’identification et liste documentée, tenue à jour.
Domaine d’application
Périmètre du système, produits et services couverts, exclusions documentées et expliquées.
Politique de continuité d’activité
Engagements de la direction, disponibles, communiqués et mis à disposition des parties intéressées.
Analyse d’impact sur l’activité
Repère Viva QSE : résultats à documenter pour prouver que les processus sont menés comme prévu (§8.1).
Appréciation du risque
Repère Viva QSE : risques de perturbation, évaluation et décisions de traitement.
Structure de réponse
Équipes, rôles, suppléants et procédures documentées d’activation et de coordination.
Avertissement et communication
Procédures pour alerter, communiquer, joindre les services d’urgence et enregistrer les décisions.
Plans de continuité d’activité
Actions, critères d’activation, ressources, dépendances, compte rendu et sortie.
Rétablissement
Processus documenté pour revenir aux activités normales après les mesures temporaires.
Objectifs de continuité d’activité
Informations documentées sur les objectifs, à conserver.
Preuves de compétences
Formations, expériences et exercices des équipes de réponse.
Rapports post-exercice
Résultats, recommandations et actions d’amélioration de chaque exercice ou test.
Résultats de surveillance et de mesure
Indicateurs de performance et d’efficacité du système.
Résultats d’audit interne
Programme réalisé, constats et conclusions.
Revue de direction
Décisions prises et mises à jour demandées, communiquées aux parties intéressées.
Non-conformités et actions correctives
Nature des écarts, actions menées et résultats.
Un guide, pas un substitut à la norme
Interprétation méthodologique indépendante de Viva QSE. Le texte officiel reste la référence. Ces repères ne constituent ni une validation normative exhaustive ni une garantie de conformité.
Accompagnement ISO 22301:2019 · Guide ISO 31000 · Guide ISO/IEC 27001 · Guide ISO/IEC 20000-1 · Guide ISO 9001 · Ressources
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 20000-1, ISO 22301.
Déployer votre dispositif
ISO, RGPD ou projet : mission de déploiement sur trois mois. Voir l’offre Build, ses conditions et ses tarifs.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger