Une analyse d'impact sur l'activité réellement utilisée

Presque toutes les organisations dotées d'un programme de continuité disposent d'une analyse d'impact sur l'activité (BIA). Bien moins l'utilisent. Dans de nombreux cas, la BIA est un volumineux classeur complété une fois par an, validé, archivé, puis consulté à nouveau seulement lorsque l'auditeur le demande. Lorsqu'une véritable perturbation survient, chacun travaille de mémoire et au téléphone.

C'est gâcher un exercice précieux. Une bonne BIA répond aux questions qui comptent le plus en situation de crise : ce qui doit être rétabli en premier, dans quel délai, et de quoi cela dépend. Cet article explique comment en construire une que les gens ouvrent réellement.

Partir des services et des processus, pas des systèmes

L'erreur la plus fréquente consiste à partir d'un inventaire des applications et à demander combien de temps chacune peut être indisponible. On obtient ainsi une liste d'objectifs de reprise IT sans lien avec ce que l'organisation fournit réellement.

Partez plutôt de ce que l'organisation fait pour ses clients, citoyens ou patients : les services qu'elle fournit et les processus qui les délivrent. Pour chacun, demandez au responsable métier ce qui se passe au fil du temps s'il s'arrête. L'impact augmente rarement de façon régulière ; il a tendance à faire des sauts à certains moments, comme la fin d'une journée ouvrable, une heure limite de paiement ou une échéance réglementaire.

Évaluez l'impact selon un petit nombre de catégories cohérentes, par exemple :

• la perte financière,
• le préjudice pour les clients ou d'autres personnes,
• les conséquences réglementaires et juridiques,
• la réputation,
• les effets opérationnels en cascade sur d'autres processus.

Utilisez la même échelle pour chaque processus afin que les résultats soient comparables. L'objectif est un classement que l'équipe de direction reconnaît et peut défendre.

Fixer des objectifs de reprise qui ont du sens

À partir de l'évaluation d'impact, déduisez les objectifs de reprise :

• Durée maximale d'interruption admissible (DMIA, ou MTPD) : le moment au-delà duquel l'impact devient inacceptable.
• Objectif de temps de reprise (RTO) : le délai visé pour reprendre le processus à un niveau acceptable, qui doit être inférieur à la DMIA.
• Objectif de point de reprise (RPO) : la perte de données, mesurée en temps, que le processus peut tolérer.

Il est également utile d'indiquer le niveau de service minimal que vous accepteriez pendant la reprise. Reprendre à 40 pour cent de la capacité en quatre heures peut être plus réaliste, et plus utile, qu'un objectif de reprise complète que personne ne peut atteindre.

Soyez honnête sur l'écart entre ce dont le métier a besoin et ce que l'organisation actuelle peut fournir. Cet écart n'est pas un échec de la BIA ; c'est l'un de ses résultats les plus importants.

Cartographier les dépendances

Un processus dépend de bien plus qu'une application. Pour chaque processus prioritaire, consignez ce dont il a besoin pour fonctionner :

• Personnes : rôles clés, effectif minimal et compétences rares.
• IT : applications, infrastructure et données, idéalement liées à votre inventaire des actifs ou à votre CMDB plutôt que ressaisies.
• Fournisseurs : tiers et services externalisés, y compris les contrats qui les encadrent.
• Sites : bureaux, centres de données et autres installations, et la possibilité de déplacer le travail ailleurs.
• Autres processus : intrants en amont et utilisateurs en aval.

C'est dans les dépendances que la BIA prouve sa valeur. Elles montrent quand un processus avec un RTO de quatre heures repose sur une application dont la capacité de reprise est de deux jours, ou sur un fournisseur unique sans alternative testée. Ces écarts de reprise sont ce que la direction doit voir en premier.

La maintenir vivante

Une BIA devient obsolète pour les mêmes raisons que n'importe quel registre : les organisations se réorganisent, les systèmes sont remplacés, les fournisseurs changent et personne ne met le fichier à jour. Quelques habitudes la maintiennent à jour :

• Désignez un responsable par processus, qui répond de son évaluation d'impact et de ses dépendances.
• Révisez à chaque changement, et pas seulement une fois par an : nouveaux systèmes, nouveaux fournisseurs, fusions et incidents doivent tous déclencher une révision des processus concernés.
• Liez au lieu de copier. Lorsque la BIA fait référence à des actifs et à des fournisseurs gérés ailleurs, les modifications se répercutent automatiquement.
• Restez assez concis pour pouvoir la maintenir. Un ensemble ciblé de processus bien compris vaut mieux que des centaines de lignes que personne ne vérifie.

La relier aux plans de reprise et aux exercices

Une BIA isolée reste un document. Sa valeur vient de ce qu'elle pilote.

Plans de reprise. Les plans de reprise après sinistre et de continuité d'activité doivent être construits pour les processus et dépendances que la BIA priorise, et indiquer des objectifs de reprise correspondant à ses RTO et RPO. Lorsque la BIA modifie un objectif, le responsable du plan doit en être informé.

Exercices. Les tests doivent donner la priorité aux processus les plus critiques et aux dépendances les plus risquées. Un exercice est aussi le meilleur moyen de vérifier si les objectifs de reprise sont réalistes. Si un test montre que la reprise prend douze heures pour un RTO de quatre, il faut modifier soit le plan, soit l'objectif, et cette décision appartient au métier.

Incidents. Lors d'une véritable perturbation, la BIA indique à la cellule de crise ce qu'il faut rétablir en premier. Après l'incident, l'analyse post-incident doit alimenter la BIA : l'impact était-il conforme aux prévisions, les dépendances étaient-elles complètes ?

Reporting. La direction n'a pas besoin du classeur. Elle doit savoir quels services critiques présentent des écarts de reprise, quels plans sont obsolètes et quels exercices ont révélé des problèmes toujours ouverts.

Un point de départ pratique

Si votre BIA actuelle est un classeur que personne n'ouvre, inutile de tout recommencer. Choisissez les cinq à dix services les plus importants, confirmez leurs responsables, validez avec eux l'impact et les objectifs de reprise, et cartographiez correctement leurs dépendances. Reliez-les aux plans de reprise et au prochain exercice. Élargissez ensuite le périmètre.

Les outils peuvent aider en gérant processus, actifs, fournisseurs, plans et exercices comme des enregistrements liés, de sorte qu'un écart de reprise soit visible dès que la capacité d'une dépendance ne permet pas d'atteindre le RTO d'un processus. Mais ce sont les échanges avec les responsables de processus qui rendent l'analyse crédible.

Cet article constitue une information générale et non un avis juridique.