Audit du plan de continuité d'activité (PCA)

Le risque de rupture d’activité est encadré généralement au travers d’un plan dont les objectifs sont de deux ordres : prévenir les dysfonctionnements en matière de continuité d’activité ; anticiper la gestion de crise en cas de défaillance importante. Plus précisément, trois approches sont mises à l’œuvre pour éviter qu’une organisation soit dans l’incapacité de poursuivre ses affaires : réduire la probabilité de survenance des évènements compromettant le déroulement des affaires, s’organiser de façon à être en mesure de fonctionner normalement même en cas de dysfonctionnement perturbateur, maîtriser toute crise majeure suite à une rupture d’activité afin d’en minimiser les pertes. Ces objectifs, compte tenu de leur importance et de leur caractère transversal, nécessitent une implication de tous les collaborateurs sur le sujet. Pour autant, il n’est pas possible de demander à chacun de veiller sur des outils dont le dimensionnement les dépasse, comme à propos d’un système d’informations, qui plus est lorsque celui-ci est intégré. En conséquence, il est plus question ici de sensibilisation que d’implication des personnels concernés, ce qui suppose qu’une fonction soit malgré tout dédiée à la continuité des activités. Pour les organisations de taille importante, cela ne doit pas poser de problème que d’allouer des ressources humaines et matérielles pour encadrer et coordonner la gestion du risque de rupture. Par contre, il en va autrement des PME et autres entreprises de taille intermédiaire bien que celles-ci soient tout aussi concernées par la problématique. Ces organisations auront ainsi tout intérêt à recourir aux services d’un prestataire pour l’établissement et le suivi d’un plan de continuité d’activité. L’audit interne peut également être sollicité pour participer à cette surveillance sans pour autant nuire à l’indépendance et à l’objectivité des auditeurs.

En matière de continuité d’activité, l’audit interne s’assurera que de l’existence des éléments et dispositifs suivants :

• une documentation formalisant la stratégie décidée par la gouvernance de l’organisation pour la continuité des activités ;

• des plans de secours pour chacun des métiers considérés comme critiques, notamment pour prévoir et encadrer les modalités de repli sur un site extérieur si nécessaire ;

• une communication entre la fonction dédiée ou le prestataire sélectionné pour la gestion des risques de rupture avec les collaborateurs, afin que ceux-ci soient régulièrement sensibilisés sur le sujet ;

• la réalisation de tests pour s’assurer que les plans de secours sont efficaces, la profondeur et la fréquence de ces tests étant déterminés sur base de la criticité des activités concernées.

Toute gestion des risques d’une organisation cherche à prévenir les événements futurs qui pourraient lui être défavorables, afin de s’en protéger dès aujourd’hui et faire en sorte  qu’ils n’adviennent pas. L’anticipation est au centre de la démarche, laquelle repose sur des facteurs de risque identifiés. Cependant, il n’est jamais aisé de prévoir la façon dont ces facteurs évolueront. Mais en plus de cette difficulté, la continuité d’activité est exposée à une multiplicité sans fin d’événements possibles, donc de facteurs de risques. En effet, rien n’est certain et tout peut arriver !

A lire également

Retour à l'accueil