La continuité d’activité est probablement le domaine où l’écart entre le document et la réalité est le plus grand. Beaucoup d’organisations disposent d’un plan de continuité. Peu savent combien de temps prend réellement une restauration complète, qui compose la cellule de crise si le directeur général est injoignable, ou comment facturer pendant cinq jours sans système d’information. La différence entre deux accompagnements tient à une question simple : le plan a-t-il été testé, et qu’a-t-on corrigé ensuite ?

Une exigence de test, pas de document

Les textes convergent sur ce point. Le RGPD, à son article 32, demande la capacité à rétablir la disponibilité des données dans des délais appropriés et une procédure pour tester régulièrement l’efficacité des mesures. NIS2 inscrit la continuité des activités, la gestion des sauvegardes, la reprise et la gestion de crise à l’article 21. DORA impose aux entités financières des plans de réponse et de rétablissement assortis de tests périodiques. ISO 22301 fournit le cadre normatif.

Aucun de ces textes ne demande un document volumineux. Tous demandent qu’il soit éprouvé.

Trois approches du marché

L’approche documentaire. Un cabinet conduit l’analyse d’impact, rédige le plan, le remet. C’est l’approche la plus répandue, et celle qui produit les classeurs que personne n’ouvre.

L’approche technique. Un intégrateur ou un hébergeur conçoit la reprise informatique : réplication, site de secours, sauvegardes. Indispensable, mais elle répond à la question du plan de reprise, pas à celle de la continuité des métiers pendant l’interruption.

L’approche par l’exercice. Le plan est construit court, testé rapidement, et amélioré à partir de ce que l’exercice révèle. C’est l’approche que nous défendons.

Comparatif

Dimension Approche documentaire Approche technique Approche par l’exercice
Livrable principal Plan de 100 à 200 pages Architecture de reprise Plan de 20 à 30 pages et plan de traitement
Durées d’interruption admissibles Déclarées Conçues Arbitrées par la direction puis vérifiées
Restauration réelle Rarement testée Testée techniquement Testée et chronométrée avant rédaction
Modes dégradés métier Décrits Hors périmètre Décrits et éprouvés en exercice
Amélioration À la prochaine mission À la prochaine évolution Après chaque exercice, actions suivies

Ce qu’un bon exercice produit

Un exercice sur table d’une demi-journée, sur un scénario réaliste (chiffrement du serveur de fichiers un vendredi en fin d’après-midi, indisponibilité d’un prestataire critique, fuite de données), produit typiquement entre dix et vingt actions correctives. Ce sont elles, et non le document, qui constituent le vrai produit du projet.

Trois indicateurs méritent d’être relevés : le délai de constitution effective de la cellule de crise, le nombre de décisions prises sans information suffisante, et le nombre de fiches réflexes inutilisables. Ils se comparent d’un exercice à l’autre et racontent une progression que la direction comprend.

Notre approche

  • Un plan court, construit en six semaines : analyse d’impact limitée aux processus réellement critiques, arbitrage des durées par la direction, test de restauration avant toute rédaction, modes dégradés et fiches réflexes.
  • Des exercices conçus sur mesure, pour des PME comme pour des entités financières soumises à DORA, avec injections successives et observation structurée.
  • Un plan de traitement post-exercice livré dans GALEA, où chaque écart est relié au scénario qui l’a révélé, à un responsable, à une échéance et aux exigences réglementaires concernées.
  • Une visualisation de l’ordre de reprise : le module de continuité de GALEA représente les activités, leurs dépendances et leurs cibles de reprise par direction, ce qui rend visible, en comité, ce qui redémarre en premier et pourquoi.
  • Une articulation avec la notification : la fiche « fuite de données » intègre le délai de 72 heures du RGPD et, le cas échéant, les délais NIS2 ou DORA.

Vous avez un plan de continuité qui n’a jamais été testé ? Commencez par un exercice sur table d’une demi-journée. Il vous dira, mieux que n’importe quel audit documentaire, s’il faut le réécrire ou simplement le corriger.

Questions fréquentes

Quelle différence entre PCA et PRA ?

Le plan de continuité décrit comment l’activité se poursuit pendant l’incident, souvent en mode dégradé. Le plan de reprise décrit comment le système d’information est remis en état. Les deux sont nécessaires.

À quelle fréquence faire un exercice ?

Au minimum un exercice de crise par an, et un test de restauration technique par trimestre. Pour les entités soumises à DORA, le programme de tests doit être proportionné au profil de risque.

Faut-il impliquer la direction générale ?

Oui, à deux moments au moins : l’arbitrage des durées d’interruption admissibles, qui doit porter sa signature, et l’exercice de crise, où sa disponibilité réelle est l’un des points les plus souvent révélés.

Sources

Liens consultés le 2 octobre 2026.