Le But de l'Évaluation des Risques en BCM
L'évaluation des risques répond à une question simple mais cruciale : "Qu'est-ce qui pourrait arriver pour arrêter nos processus métier critiques, avec quelle probabilité et quel impact ?"
Contrairement à l'Analyse d'Impact sur le Métier (BIA) qui se concentre sur les conséquences d'une interruption (le "que" se passe-t-il si ça s'arrête ?), l'évaluation des risques se concentre sur les causes (le "pourquoi" est-ce que ça pourrait s'arrêter ?).
Les deux processus sont complémentaires et forment le socle du BCM :
Les deux processus sont complémentaires et forment le socle du BCM :
- La BIA identifie ce qu'il faut protéger (les processus critiques) et à quel point (RTO, RPO).
- L'Évaluation des Risques identifie ce contre quoi il faut se protéger (les menaces).
Identification des Menaces (Risk Identification) :
Comment ? Par des brainstormings, des interviews, des analyses de scénarios, des retours d'expérience.
Quoi ? On liste tout événement potentiel pouvant affecter la continuité.
Exemples de menaces : Cyberattaque (ransomware), incendie, inondation, panne électrique, panne réseau, perte d'un fournisseur critique, pandémie, grève, démission soudaine de personnel clé, etc.
Analyse des Risques (Risk Analysis)
Pour chaque menace identifiée, on évalue :
- Sa probabilité de survenue.
- Son impact potentiel sur les processus critiques (en utilisant les données de la BIA).
On identifie également les vulnérabilités qui exacerbent le risque (ex: "pas de firewall à jour" est une vulnérabilité qui augmente la probabilité d'une cyberattaque).
Le But de l'Évaluation des Risques en BCM
Évaluation et Priorisation (Risk Evaluation) :
- On utilise la matrice des risques pour classer chaque risque (Ex: Acceptable, À surveiller, Inacceptable).
- L'objectif est de répondre à la question : "Quels risques nécessitent une action immédiate et quels risques pouvons-nous accepter ou transférer (assurance) ?"
Le But de l'Évaluation des Risques -->Agir
Définition des Stratégies de Traitement (Risk Treatment) :
C'est la phase action. Pour chaque risque prioritaire, on définit une stratégie :
- Mitigation (Réduction) : Mettre en place des mesures proactives pour réduire la probabilité ou l'impact (ex: installer des générateurs de secours pour réduire l'impact d'une panne électrique).
- Acceptation : Accepter le risque car son impact ou sa probabilité est trop faible pour justifier un investissement.
- Transfert : Souscrire une assurance pour se protéger financièrement.
- Éviction : Arrêter l'activité qui pose le risque (souvent irréaliste pour le cœur de métier).
Le lien avec le plan BCM : Les plans de continuité (PCA) et de reprise (PRA) sont eux-mêmes des stratégies de mitigation pour les risques qu'on ne peut pas éviter. Ils visent à réduire l'impact opérationnel d'un incident lorsqu'il se produit.
Plan général - Ce qu'apporte BCM@LGX
VPAP
La VPAP est un processus d'inventaire et de cartographie structuré visant à identifier l'ensemble des processus et des activités de l'organisation, leurs propriétaires, ainsi que leurs dépendances de premier niveau.
L’objectif est d'établir le cadre de référence exhaustif du périmètre d'activité, qui servira de socle préalable indispensables à la réalisation des Bilan d'Impacts sur Activités (BIA).
BCM@LGX vous guide dans la rédaction de chaque VPAP : vous décrivez le processus, ses activités vitales et le délai d'interruption tolérable.
Bilan d’Impacts sur Activités
Le BIA est un processus structuré visant à identifier les activités critiques de l'organisation, les ressources nécessaires à leur exécution, et à déterminer les impacts potentiels d'une interruption.
L'objectif est de définir les exigences de continuité (délais de reprise) qui serviront de base à l'élaboration de la stratégie et des plans de continuité.
BCM@LGX vous guide la rédaction de chaque BIA : à partir des activités de la VPAP, vous notez l'impact d'une interruption dans le temps, et elle en déduit le délai d'arrêt acceptable et la perte de données maximale.
MVC
La MVC est une vue synthétique et structurée visant à cartographier l'ensemble des composants techniques, applicatifs et d'infrastructure qui soutiennent les activités de l'organisation.
L'objectif est de formaliser la chaîne de dépendances technologiques pour évaluer précisément l'impact d'une défaillance d'infrastructure sur le fonctionnement des processus métiers.
BCM@LGX génère automatiquement la MVC : à partir des BIA, elle compile les activités et les applications cruciales avec leurs délais les plus urgents, et vous propose le noyau sans lequel l'organisation ne peut fonctionner.
En s'appuyant sur la MVC, BCM@LGX élabore la Séquence de Restauration : en considérant les relations entre les applications et leurs temps de reprise, elle propose l'ordre de remise en service au niveau Entreprise.
Résilience- Définir les Stratégies de Continuité (PCA)
L'objectif est de déterminer comment maintenir les activités critiques en fonctionnement pendant un incident, sans nécessairement avoir à les restaurer depuis une sauvegarde.
Pour chaque processus critique de votre MVC :
- Solutions de travail à distance / déporté : Les équipes peuvent elles travailler depuis un autre site ou depuis chez elles ? (nécessite VPN, accès sécurisés aux applications).
- Solutions techniques de résilience : Faut-il mettre en place de la haute disponibilité ?
- Accords mutuels ou contrats avec d'autres sites : Pouvez-vous reloger vos équipes sur un autre site de l'entreprise ?
- Plans manuels / de secours : Pour les processus très manuels, quelle procédure alternative mettre en place (ex: utilisation de formulaires papier temporairement) ?
BCM@LGX vous aide à rédiger le livrable : L'application guide la rédaction de chaque PCA - à partir du BIA, vous décrivez les dépendances, les scénarios et le mode dégradé, et elle rédige le plan de continuité du processus.
Définir les Stratégies de Reprise d'Activité PRA
Ici, on se concentre sur la restauration de l'infrastructure IT et des applications qui supportent les processus critiques, après un incident grave (ex: perte du data center).
Pour chaque application / serveur :
- Technologie de sauvegarde : La solution actuelle (ex: sauvegarde sur bande) permet-elle de respecter le RTO ? Si non, faut-il passer à des solutions plus rapides (réplication de VMs, snapshots sur disque) ?
- Site de Reprise : Où allez-vous restaurer vos serveurs ?
- Site froid/warm/hot ? Votre stratégie (MVC) et vos RTO vont dicter le choix. Un RTO de 4h nécessite un site "warm" ou "hot", pas un site "froid" qui prend 2 jours à activer.
- Ordre de restauration : Définir la séquence précise de redémarrage des serveurs (ex: d'abord le domaine Active Directory, puis la base de données, puis l'application). Ceci est critique pour respecter le RTO.
BCM@LGX vous aide à rédiger le livrable : L'application guide la rédaction de chaque PRA - à partir de la fiche application, de ses dépendances et de ses délais de reprise, elle rédige les scénarios et les procédures pour remettre le système en service.
Résilience des services critiques - Tier 0
Le Tier 0 est une évaluation structurée des services techniques de socle dont dépend le reste du système d'information : synchronisation du temps, résolution de noms, attribution d'adresses, annuaire, stockage, certificats et virtualisation.
L'objectif est d'établir le cadre de référence de ces fondations et de leurs mesures de résilience. Sans elles, aucune activité ni application ne peut redémarrer. Cette analyse prépare la reprise technique.
BCM@LGX vous guide dans l'évaluation de chaque service Tier 0 : vous décrivez l'existant et les mesures de résilience déjà en place.
Mitigation
La mitigation est la démarche structurée qui transforme les écarts constatés sur les services Tier 0 et sur les applications en mesures concrètes : conception, mise en œuvre, vérification, maintien, rôles et planning.
L'objectif est de combler ces écarts avant l'incident, pour que le socle technique et les applications critiques puissent tenir ou être rétablis dans les délais déjà fixés.
BCM@LGX vous guide dans la rédaction de chaque plan de mitigation : à partir des analyses déjà réalisées, elle propose les mesures, et vous précisez la mise en œuvre, les responsabilités et les jalons.
Pilotage du SMCA
Le pilotage du SMCA est le suivi structuré du système de management de la continuité d'activité. Il rassemble les indicateurs, les résultats des exercices, les actions encore ouvertes, les audits, les revues de direction et la résilience des fournisseurs critiques.
L'objectif est de donner à la direction une lecture à jour du dispositif, et de transformer chaque écart — exercice, incident, changement ou audit — en action suivie jusqu'à sa clôture.
BCM@LGX vous guide dans ce pilotage : vous consultez les indicateurs, consignez les revues et les audits, et traitez les actions encore ouvertes.