BIA

Analyse d’impact (BIA)

Le BIA (Business Impact Analysis, bilan d’impact sur l’activité) mesure ce qu’une interruption coûte vraiment. Il part des activités vitales déjà décrites et répond à une question simple : au bout de combien de temps l’arrêt n’est plus acceptable, et quelle perte de données l’organisation peut encore supporter.

C’est le moment où le métier et l’informatique se mettent d’accord sur les mêmes délais.

Ce que demande l’ISO 22301

L’ISO 22301, au chapitre de l’analyse d’impact, demande à l’organisation de fixer ses priorités de continuité à partir des faits, pas d’une intuition. La norme ISO 22317 précise la méthode. Quatre résultats sont attendus.

• Les types d’impact qui comptent pour l’organisation : financier, réglementaire, image, clients, personnes, environnement, qualité.
• Les activités qui portent les produits et les services, et les ressources dont elles dépendent : personnes, applications, informations, sites, fournisseurs.
• L’impact de l’arrêt de chaque activité, lu dans le temps. Une heure d’arrêt et une semaine d’arrêt ne racontent pas la même chose.
• Deux délais. La durée maximale tolérable de perturbation (DMTP) est le moment où l’impact devient inacceptable. La durée maximale d’interruption admissible (DMIA) est le délai dans lequel l’activité doit avoir repris à un niveau acceptable. La DMIA doit tenir à l’intérieur de la DMTP.

La perte de données maximale admissible (PDMA) complète ces deux délais. Elle dit quelle ancienneté de données l’activité peut perdre. C’est l’objectif que les sauvegardes et les plans de reprise devront respecter.

Ce que BCM@LGX apporte

L’application guide cette analyse au lieu de la laisser dans un tableur.

• Les activités viennent des VPAP déjà rédigées. Le BIA ne réinvente pas le périmètre.
• La matrice d’impact de la société donne le sens des notes 1 à 4, critère par critère. Tout le monde note avec la même échelle.
• Pour chaque activité, vous indiquez comment l’impact monte au fil du temps. L’application en déduit la DMIA et la PDMA.
• La DMTP, saisie sur l’activité vitale, reste le plafond : c’est le délai qu’il ne faut pas dépasser.
• Les applications liées à l’activité apparaissent dans la même lecture. On voit ce qui doit repartir pour que l’activité tienne son délai.

Un processus se valide quand les entretiens sont terminés. Les BIA validés alimentent ensuite la MVC, les plans de continuité et les plans de reprise.

Comment le conduire

1. Faites valider les VPAP et la matrice d’impact avant les entretiens.
2. Ouvrez le processus BIA issu de la VPAP.
3. Notez l’impact dans le temps, avec les personnes qui connaissent l’activité.
4. Relisez la DMIA et la PDMA calculées. Si le délai surprend, c’est la note ou la matrice qu’il faut revoir, pas le résultat.
5. Marquez le processus comme validé, puis passez à la suite : noyau vital, continuité, reprise.

Le BIA ne rédige pas encore le plan. Il fixe les délais que tous les plans devront tenir.