« Résilience et continuité : se préparer à l’incident majeur »

Aucune entreprise n’est à l’abri de l’incident majeur. Une cyberattaque qui chiffre les systèmes du jour au lendemain, la panne prolongée d’un fournisseur cloud, un sinistre physique sur un site sensible, la défaillance soudaine d’un prestataire critique : ces événements ne relèvent plus de l’hypothèse d’école. Pour une PME ou une ETI en environnement régulé, la question n’est pas de savoir si un choc surviendra, mais si l’organisation saura continuer à fonctionner, puis se rétablir, lorsqu’il surviendra. C’est le champ de la résilience opérationnelle et de la continuité d’activité.

Or ce champ est encombré de faux-semblants. Beaucoup d’entreprises disposent d’un plan de continuité rangé dans un classeur, validé par un comité, présenté à l’auditeur, et pourtant strictement inopérant le jour venu. La résilience ne se décrète pas dans un document : elle se construit dans la préparation vécue, dans les exercices qui font mal, et dans les arbitrages assumés à froid sur ce que l’on protège en priorité. C’est cette exigence, souvent sous-estimée, que nous proposons d’examiner du point de vue du dirigeant.

Continuité et rétablissement : deux disciplines distinctes

La première clarification tient au vocabulaire, car il structure la pensée. Le plan de continuité d’activité (PCA) répond à une question métier : comment maintenir les fonctions essentielles de l’entreprise pendant la perturbation, éventuellement en mode dégradé ? Le plan de reprise d’activité (PRA) répond à une question plus technique : comment restaurer les systèmes d’information dans un délai et à un point de récupération acceptables ? Confondre les deux, ou traiter le second sans le premier, conduit à des dispositifs qui restaurent des serveurs sans jamais garantir que l’activité, elle, continue.

Fixer les seuils avant la crise

La valeur d’un plan tient d’abord aux seuils que la direction accepte de fixer, en connaissance de cause. Ces paramètres ne sont pas des choix techniques : ce sont des décisions d’entreprise que le dirigeant seul peut arbitrer.

• la durée maximale d’interruption tolérable pour chaque processus critique, avant que les conséquences ne deviennent irréversibles ;
• la perte de données admissible, c’est-à-dire le volume de travail que l’on accepte de reconstituer ou de perdre ;
• le niveau de service minimal à préserver, distinct du fonctionnement nominal ;
• l’ordre de priorité de remise en route, lorsque tout ne peut pas repartir en même temps.

Des cadres éprouvés comme la norme ISO 22301 sur le management de la continuité, ou le règlement DORA qui impose la résilience opérationnelle numérique au secteur financier, offrent une méthode pour poser ces seuils. Ils ne dispensent pas de l’arbitrage : ils en organisent la rigueur.

Le plan jamais testé est une fiction

Un dispositif de continuité qui n’a jamais été éprouvé ne relève pas de la protection, mais de la croyance. Sur le papier, tout se tient : les procédures s’enchaînent, les responsabilités sont assignées, les délais paraissent réalistes. Dans la réalité d’un incident, les annuaires sont périmés, les sauvegardes ne se restaurent pas dans le temps annoncé, la personne clé est injoignable, et la procédure elle-même est stockée sur le système devenu inaccessible. L’écart entre le plan et sa mise en œuvre effective ne se révèle qu’à l’épreuve.

Exercices et simulations : la seule preuve

C’est pourquoi l’exercice est le cœur de la démarche, et non son accessoire. Une simulation de crise bien conçue confronte l’organisation à un scénario plausible et met à l’épreuve autant les systèmes que les hommes : la chaîne de décision tient-elle sous pression, l’information circule-t-elle, les modes dégradés sont-ils réellement praticables ? Ces exercices ont une vertu supplémentaire, moins visible : ils construisent des réflexes collectifs et une confiance mutuelle qui, le jour venu, valent bien davantage que la meilleure procédure écrite.

Un plan de continuité qui n’a jamais été testé n’est pas un plan : c’est une hypothèse que l’on découvre fausse au pire moment.

Dépendances aux tiers et sauvegardes immuables

La résilience d’une entreprise ne s’arrête plus à ses propres murs. L’externalisation croissante vers le cloud et la concentration de certains fournisseurs numériques créent des dépendances dont la défaillance échappe au contrôle direct de l’organisation. Un plan de continuité qui ignore ces tiers critiques protège l’entreprise contre ses propres pannes, mais la laisse exposée à celles de ses fournisseurs — souvent les plus difficiles à absorber, car elles frappent simultanément de nombreux clients.

La cartographie des dépendances devient dès lors un exercice stratégique : identifier les prestataires sans lesquels l’activité s’arrête, comprendre leur propre résilience, et prévoir les alternatives ou les modes dégradés lorsqu’ils font défaut. Sur le plan des données, la menace du chiffrement par rançongiciel a remis au premier plan la notion de sauvegardes immuables et isolées : des copies qu’un attaquant, même après avoir compromis le système, ne peut ni altérer ni supprimer. C’est souvent la dernière ligne qui sépare une entreprise d’une reconstruction complète.

La crise : décisions à froid, arbitrages à chaud

La gestion de crise obéit à une règle simple : les meilleures décisions se préparent à froid, car elles se prennent mal à chaud. Dans l’urgence, sous le stress, avec une information incomplète, la lucidité s’érode et le champ des choix se referme. Ce qui a été pensé en amont — qui décide, qui parle, qui coordonne, jusqu’où l’on est prêt à aller — devient alors le socle sur lequel l’organisation tient. À l’inverse, ce qui n’a pas été tranché à froid sera improvisé dans la confusion, avec le coût que cela suppose.

La place du dirigeant en cellule de crise

Le rôle du dirigeant en cellule de crise n’est pas de piloter la remédiation technique, qui revient aux équipes et aux experts. Il est de tenir le cap : arbitrer entre des options coûteuses et incertaines, assumer la communication vis-à-vis des clients, des salariés, des régulateurs et parfois du public, et protéger l’horizon de l’entreprise quand tous les regards convergent sur l’incident. Un dirigeant qui découvre son rôle le jour de la crise n’a pas eu le temps de l’apprendre ; celui qui l’a répété dans les exercices l’exerce avec l’autorité que la situation exige.

Décider ce que l’on protège en priorité

La résilience n’est pas une protection absolue — celle-ci n’existe pas — mais une hiérarchie assumée. On ne peut pas tout sauvegarder, tout redonder, tout restaurer en même temps ; prétendre le contraire, c’est se condamner à ne rien protéger réellement. L’exercice décisif consiste à identifier le petit nombre de processus, de données et de fonctions dont dépend la survie de l’entreprise, et à concentrer l’effort sur eux. Ce tri est douloureux, car il oblige à nommer ce qui compte vraiment ; il est aussi ce qui distingue une résilience réelle d’une intention généreuse.

C’est sur ce terrain que se situe la valeur d’un regard extérieur. Le rôle de CIBNET n’est pas de construire les dispositifs ni d’opérer la reprise, mais d’aider les dirigeants à poser les bonnes questions avant la crise : quels seuils sont acceptables, quelles dépendances sont réellement critiques, quels arbitrages tenir quand tout ne pourra pas être sauvé. Se préparer à l’incident majeur, ce n’est pas accumuler des plans ; c’est développer, à froid et par l’exercice, une capacité collective à décider juste sous la contrainte. La résilience ne se lit pas dans un classeur : elle se prouve le jour où elle est mise à l’épreuve.