Le Business Continuity Management (BCM)

Une des premières étapes dans une analyse de risques, respectivement une analyse de processus, est la définition des objectifs de protection :

- Garantir la sécurité et la santé des collaborateurs et de toute partie prenante,
- Protéger l’environnement,
- Préserver les infrastructures,
- Protéger les données et les informations,
- Garantir le cadre juridique ainsi que préserver la renommée de l’organisation,
- Garantir la continuité des activités, respectivement la reprise dans des délais acceptables.

Mettre en place des mesures pour atteindre ces objectifs influence fortement la résilience d’une organisation.

On distingue :

Résilience organisationnelle : Capacité d’une organisation à s’adapter à un environnement changeant en analysant et en ajustant son propre fonctionnement. Il s’agit ici d’une approche holistique et transdisciplinaire (collaboration, coordination, communication).

Réf. ISO 22316 : 2017 - Sécurité et résilience - Résilience organisationnelle - Principes et attributs

Résilience opérationnelle : Capacité d’une organisation à garantir la continuité des opérations critiques même en cas de perturbations. Il s’agit ici de prévenir les perturbations opérationnelles, de s’y adapter, d’y répondre et de les surmonter, tout en tirant les bonnes leçons du vécu.

Réf. ISO 22301 : 2019 - Sécurité et résilience - Systèmes de management de la continuité d’activité - Exigences
Réf. ISO 31000 : 2018 - Management du risque - Lignes directrices

Pour mieux comprendre son organisation deux approches complémentaires sont possibles :

- Analyse d’impact des activités d’une organisation :

En analysant les processus essentiels d’une organisation, on peut identifier les ressources critiques nécessaires au fonctionnement du processus.

Un processus en soit n’échoue pas, mais ce sont les ressources indispensables à son fonctionnement qui impactent son fonctionnement.

Cette analyse permet de définir les RTO (durée maximale d’interruption admissible) et ainsi de développer des mesures pour protéger les ressources critiques.

- Analyse des Risques :

Sur base de scénarios crédibles, une analyse des risques pour les ressources critiques peut être réalisée. Des mesures peuvent alors être identifiées pour protéger les ressources essentielles nécessaires également pour garantir la continuité des processus critiques. Le risque est finalement calculé en fonction de la probabilité d’occurrence et de l’impact.

Exemple d’une analyse effectuée sur base du scénario de l’inondation :

Pour connaître la probabilité qu’une organisation soit exposée au risque, une recherche historique s’avère souvent utile. Des inondations ont-elles déjà été rapportées dans la zone concernée ?

Pour justifier les mesures à mettre en place, l’impact sur l’activité par une inondation peut être évaluée. Si les ressources essentielles au fonctionnement comme l’approvisionnement en énergie, les machines, les locaux, … sont mises en péril, ne permettant ainsi plus le fonctionnement de processus critiques, l’impact peut être évalué comme étant majeur et justifiant la mise en place de mesures adaptées.

La stratégie mise en place pour la gestion du risque peut être la suivante :

- Transfert du risque en concluant une bonne assurance,
- Accepter le risque en espérant qu’une inondation ne survienne pas,
- Réduire le risque en mettant en place des mesures de protection, ou
- Éviter le risque en déplaçant son activité dans une zone à probabilité d’inondation quasi nul, tout en acceptant que le risque nul n’existe pas.

Mais il vaut mieux s’être préparé hier afin d’être prêt aujourd’hui pour ce qui arrivera demain.

L’utilisation d’un outil informatique permettant la gestion des différentes étapes et aspects du BCM facilite la mise en application et la gestion. ARGEST peut vous conseiller et vous guider dans vos démarches.

Pour des informations complémentaires : www.argest.eu.

Vidéo ici
Article tiré du dossier du mois « R é S ili E nce ? »