Coronavirus : avez-vous votre plan de continuité d’activité ?
En ce temps de crise sanitaire, les entreprises constatent avec effroi leur impréparation. Anticiper toute perturbation pour y laisser le moins de plumes possible : voilà l’objectif d’un système de management de la continuité d’activité. Et c’est une norme volontaire qui en donne les lignes directrices : ISO 22301. Exceptionnellement, vous pouvez la consulter gratuitement.
La crise sanitaire que traverse la planète en ce début de printemps 2020 a mis en lumière deux sigles désormais mondialement connus : COVID-19 et FFP2. Le premier désigne le fameux virus ; le second le type de masque censé nous en protéger. Chez AFNOR, on se permettra d’ajouter trois autres sigles qui tombent fort à propos : SMCA, PCA et ISO 22301.
ISO 22301 : le management de la continuité d’activité
Un SMCA, c’est un système de management de la continuité d’activité. Le PCA est son bras armé : le plan de continuité d’activité. Ces deux outils sont décrits dans une norme volontaire internationale : ladite ISO 22301, dont la dernière version date de novembre 2019 et qu’AFNOR vous propose de consulter gratuitement dans sa boutique en ligne. Pourquoi vous en parler maintenant ? Simplement parce que dans le monde de l’entreprise, il est important d’anticiper une crise, afin de la traverser sans trop de dégâts et de s’en remettre rapidement. « La norme spécifie les exigences pour mettre en œuvre, maintenir et améliorer un système de management afin de se protéger contre les perturbations, réduire la vraisemblance de leur survenance, s’y préparer, y répondre et se rétablir lorsqu’elles se produisent », résume Nicolas Scuto, chef de projet chez AFNOR Normalisation, qui anime le groupe de professionnels ayant mis à jour le document pour la France.
« Inondation, pandémie, coupure du câble télécom dans la rue à cause d’une pelleteuse maladroite… En entreprise, toute perturbation, petite ou grosse, provoque un ralentissement ou une rupture de production, de livraison, de prestation de service, expliquent Yves Mérian et François Tête, membres du Club de la continuité d’activité et contributeurs actifs à la norme, côté français. ll y a dix ans, on attendait six mois, on se faisait indemniser par les assurances et on repartait. Aujourd’hui, ce n’est plus possible. Imaginez des libraires à l’arrêt, qui mettent deux mois à reprendre leur activité : entre temps, le marché sera pris par Amazon et consorts ! » Pratique : le Club de la continuité d’activité met à disposition un guide de mise en place d’un SMCA selon la norme ISO 22301 Guide dans une ETI ou une PME. Vous pouvez aussi vous passer par la case formation : AFNOR Compétences a ouvert une « classe virtuelle » pour apprendre à mettre en place un plan de continuité de l’activité (7 heures, 500 € HT).
ISO 22301 : savoir apprécier les risques et définir les priorités
En photo, Yves Mérian
Dans l’entreprise, il faut désigner un pilote chargé de déployer, suivre et faire évoluer le SMCA. Ce pilote est souvent assisté d’un consultant extérieur, qui aide à sa mise en place. Le SMCA a aussi son référent au Comex. « Cette personne doit bien connaître l’environnement dans lequel l’entreprise évolue, savoir apprécier les risques et avoir le sens des priorités. Elle doit aussi avoir accès à tous les niveaux de l’organigramme, aux fonctions support comme l’informatique et aux services extérieurs comme la médecine du travail. C’est indispensable pour identifier quels sont les postes les plus exposés et les collaborateurs les plus vulnérables, dans le respect du secret médical », soulignent Yves Mérian et François Tête.
A charge, pour elle, de mener sur ces bases un bilan d’impact sur les activités (Business Impact Analysis en anglais, ou BIA). Cet exercice permet de définir des priorités (quel poste, quel équipement, quelle usine mettre à l’arrêt en premier et en dernier recours ?), des délais d’interruption acceptables (plusieurs heures, jours, semaines ?), des effectifs critiques (que faire sans la hotline informatique, sans service courrier ?). S’ensuit plusieurs scénarios qui doivent être finement étudiés : interruption partielle, interruption totale, délocalisation, télétravail généralisé, etc. Et c’est sur ces bases que le fameux PCA, le plan de continuité d’activité, définit les solutions (stratégiques) et mesures (opérationnelles) à mettre en œuvre, en fonction de la situation : plages horaires d’ouverture, modalités de télétravail, roulement d’effectifs, travail dominical, animation de la cellule de crise.
ISO 22301 : amélioration continue et outil de résilience
On le voit, le management de la continuité d’activité touche de près la gestion de crise, elle aussi objet d’une norme volontaire, XP CEN/TS 17091 (août 2019). La cellule de crise choisira les solutions du PCA les plus adaptées, voire en inventera de nouvelles, en toute agilité. Car, il faut bien le reconnaître : « En gestion de crise, on constate souvent que le PCA n’avait pas vu juste pour la crise en question. Car il n’y a pas deux crises qui se ressemblent ! », indiquent Yves Mérian et François Tête, prenant l’exemple de la répartition des masques dans la crise actuelle du coronavirus. C’est pourquoi un SMCA doit se penser en amélioration continue : les leçons d’une crise doivent venir enrichir le plan, pour mieux gérer la crise d’après. C’est le concept de RETEX : le retour d’expérience. »
En photo, François Tete
Bref, la norme ISO 22301 doit figurer au-dessus de la pile au siège de l’entreprise. « Ceux qui l’ont adoptée ne le regrettent pas et se disent mieux armés », conclut François Tête, citant son cas personnel : « Je préside un conseil syndical d’immeuble, et je peux vous dire que cela m’est utile actuellement pour définir quel traitement réserver aux occupants âgés, que faire pour le nettoyage, comment sortir les poubelles… » Une crise fait toujours des dégâts, mais bien gérée, ces dégâts se trouvent minimisés.
