Qu'ont en commun les entreprises et les collectivités qui font face à une catastrophe naturelle ou à un accident industriel ? Réponse : toutes doivent redémarrer leur activité dès que possible. Depuis quelques années, certains acteurs en pointe dans la gestion des risques anticipent même cette étape. Et conçoivent pour cela un plan de continuité d'activité, ou PCA. Une démarche globale, complexe, avec de multiples données à intégrer, et pour laquelle l'implication du management est indispensable. Et, qu'ensuite, il faut faire vivre ! « Le PCA a un objectif simple : faire face à un sinistre pour assu­rer la survie d'une organisation », pose Bruno Hamon, fondateur du cabinet de conseil Mirca, spécialisé dans la gestion des risques et cyberrisques. Une prise de conscience liée notamment aux conséquences de la canicule, en 2003, qui a vu des services informatiques défaillir au fur et à mesure que le thermomètre grimpait. L'explosion du site AZF, en 2001, avait créé un précédent. Suivi en 2010 de l'éruption du volcan islandais Eyjafjöll, dont les cendres ont bloqué le trafic aérien sur une bonne partie de l'Europe. Une série d'événements qui a achevé de convertir les esprits à la nécessité de préparer le redémarrage de l'activité. Au fond, le type de catastrophe importe peu, car il est impossible d'anticiper tous les risques. Le PCA s'attache à en traiter les conséquences. « Avec ce raisonnement, on aboutit généralement à trois cas de figure à anticiper : des locaux to ta­lement ou partiellement détruits, un système informatique inac­cessible pour une durée plus ou moins longue, ou l'impossibilité de pouvoir compter sur tout ou partie du personnel », résume Bruno Hamon. Qui est concerné ? Tout le monde. « En France, 73 % des communes sont exposées à un risque climatique, prin ci pa­lement les inondations et les tem­pêtes », rappelle Antoine Millot, conseiller en gestion des risques au département Business Risk Management de FM Global, une mutuelle d'assurance spécialisée dans les dommages aux biens et la continuité d'activité, qui a accompagné, en quinze ans, 200 projets dans le monde dans toutes les activités, hormis la pétrochimie. « En cas d'inondation, plusieurs sites d'une entreprise peuvent être touchés, ainsi que ses fournisseurs et ses centres logistiques », poursuit Antoine Millot. Dans certains secteurs, un PCA est obligatoire. C'est le cas pour les banques et les établissements financiers, encadrés par la réglementation CRBF, et des assurances, via la réglementation Solvency. Dans d'autres domaines, un PCA est fortement recommandé. Certains appels d'offres des marchés publics l'exigent, notamment pour les secteurs d'activité d'importance vitale (alimentation, sécurité civile, fourniture d'énergie, transports en commun, télécommunications, hôpitaux, eau et assainissement, défense, etc.). Enfin, certaines assurances poussent parfois leurs clients à se lancer dans l'aventure. Depuis 2012, la démarche est balisée par la norme Iso 22301, complétée par la norme Afnor BP Z74-700 et le fascicule de documentation FD X 50-259. « C'est une démarche récente, importée des pays anglo-saxons et asiatiques, qui ont une culture préventive, contrairement aux pays latins qui raisonnent en mode curatif », confirme Bruno Hamon, qui a piloté le groupe de travail à l'Afnor sur cette norme. Concrètement, un PCA se compose de deux volets : l'un, organisationnel (PCO), l'autre, informatique (PCI). Il se construit en sept étapes. Tout commence par l'analyse des risques, via un bilan d'impact sur activité (BIA). Il définit la perte maximale envisageable et un délai de reprise d'activité. À ce stade, l'enga gement de la direction est essentiel car il est nécessaire d'identifier les fonctions critiques. Chaque service ayant une tendance naturelle à s'estimer indispensable, l'arbitrage du management est primordial. « Un PCA peut être chronophage. Il faut cadrer l'acti­vité concernée », prévient Antoine Millot. Pour les grandes organisations, un PCA global peut chapeauter plusieurs PCA sectoriels. L'EPTB (établissement public territorial de bassin) Loire a ainsi réalisé son propre PCA et accompagné celui des collectivités volontaires sur son territoire. Cette phase doit aussi déterminer les objectifs de continuité. « Créé après la tempête de 1999, le PCA d'ERDF indique que l'ac­cès à l'électricité doit être rétabli à 80 % des foyers en cinq jours », illustre Yves Mérian, consultant indépendant et ex-responsable du Pôle continuité d'activité au ministère de l'Économie. « Il faut aussi anticiper le risque de sur­événement, comme un pillage en cas d'inondation », complète-t-il. Deuxième étape, développer des stratégies de continuité. Deux grandes possibilités sont envisageables : soit le redémarrage en « mode dégradé », soit la continuité grâce au repli sur un autre site. « Tout le monde n'a pas les moyens de mettre en place un dispositif de type crue centen­nale. On peut alors conseiller une reprise en mode dégradé », indique Clotilde Marchetti, chez Grant Thornton. Ou pas, tant certains choix peuvent être stratégiques. « Un papetier utili­sant des déchets de bois a refusé d'envisager une autre matière première en solution de secours, car trop risqué pour son image de marque », raconte Antoine Millot. Troisième phase, la mise en œuvre pratique, par la sensibilisation et la formation, afin de vérifier que les ressources (personnes, données, équipements, infrastructures) sont disponibles. Cela passe notamment par l'identification de locaux de repli pour les salariés et les marchandises. Si l'entreprise compte plusieurs sites, tous les collaborateurs travaillant sur ordinateur peuvent a priori être accueillis dans d'autres locaux, moyennant un réseau informatique robuste. Sinon, des entreprises spécialisées sont sollicitées pour mettre à disposition des espaces en cas de crise. De même, pour les marchandises, des sociétés louent des disponibilités d'emplacements de palettes. Vient alors le quatrième stade, celui de la gestion des incidents et des crises de continuité. Ce qui permet d'envisager, à l'étape 5, le contrôle et la mesure de l'efficacité, via des audits et des tests. « Un PCA qui n'a pas été testé ne peut pas être considéré comme opérationnel », indique la norme. Plusieurs niveaux d'essais sont prévus, en commençant par la revue documentaire, puis le jeu de rôles, jusqu'aux simulations partielles et totales. À réaliser tous les ans ! Dernière étape, piloter et perfectionner le PCA, une démarche d'amélioration continue tenant compte des dysfonctionnements observés. Cette phase de mise à jour, annuelle, doit également intégrer les nouveaux projets, sites, activités, etc. Reste qu'un PCA est une démarche assez lourde à mettre en place. Si la durée varie en fonction de la taille de l'entreprise, du nombre de sites, comptez en moyenne une dizaine de mois, accompagnés d'un cabinet-conseil. Elle est plus facile à mener si une démarche de management (Iso 9000, Iso 14001, etc.) a déjà été conduite, car la philosophie demeure la même. « L'avantage, c'est que réfléchir aux conséquences des risques peut déboucher sur une démarche de prévention », souligne Yves Mérian. Le PCA peut aussi être confié à un « Responsable PCA et gestion de crise », issue d'un master 2, proposé par Resiliency, la filiale du Haut Comité français pour la défense civile (HCFDC). Cette formation continue totalise 460 heures de cours sur un à deux ans. D'autres soutiens sont disponibles auprès de clubs spécialisés en communication de crise, comme le Club PCA ou le Club 22301. l Aller plus loin > > Fascicule de documentation Afnor FD X 50-259, www.afnor.org/ liste-des-actualites/ actualites/2014/ mars-2014/ management-du-risque-comment-mettre-en-aeuvre-un-plan-de-continuite-d-activite-reponse-avec-un-fascicule-afnor > > Kit PCA pour les PME, www.entreprises. gouv.fr/files/files/ directions_services/ politique-et-enjeux/ entrepreneuriat/Guide-PCA-en-cas-de-crisemajeure.pdf Plusieurs niveaux de tests sont prévus, notamment des simulations à réaliser tous les ans.