
N°66 - Le plan de continuité d'activité - 07 Mai 2015 \| Exaris.fr

ExarisInfo 66 - Plan de Continuité d'Activité.pdf

	Bonne pratique ou nécessité ?
	Historiquement, la notion de « Plan de Continuité d’Activité » (PCA) est plus répandue dans les pays anglo-saxons, où dès les années 90 l’audit d’un fournisseur intégrait la prise en compte des mesures en place pour prévenir au mieux une rupture d’approvisionnement en matières premières. Ce point était d’autant plus crucial que les fournisseurs référencés étaient peu nombreux. Puis le concept de PCA a connu un écho important en France, notamment dans les industries alimentaires, lors de la crise H1N1 dite de la « grippe aviaire ». Il fut alors demandé à chaque entreprise d’anticiper les impacts éventuels de la pandémie sur ses activités et de prévoir les mesures alternatives permettant la continuité de l’activité. Pour les industriels il s’agissait notamment de prévoir l’organisation permettant de produire en fonction des effectifs touchés et des stocks de matières utilisables, et en quelles quantités. Il était alors fréquent de demander à ses fournisseurs leurs propres PCA. Aujourd’hui la pression de la grippe aviaire est retombée, mais à une période où la pression économique d’une part et la pression compétitive d’autre part sont très fortes, les menaces protéiformes (accident météorologique, crise sanitaire, malveillance, fraude…), le besoin d’anticipation et de maîtrise des risques se traduit par une réapparition croissante des demandes de PCA de clients vers leurs fournisseurs. L’enjeu est bien sûr, encore une fois, d’assurer au mieux la pérennité des entreprises tout en évitant toute surenchère contre-productive. L’idée d’un PCA global qui permettrait d’anticiper les risques majeurs impactant des ressources critiques apparaît donc pertinente… mais pas à n’importe quel prix.

	1. Procédure de gestion de crise : nécessaire mais pas suffisante
	La ou les procédures de gestion de crise constituent désormais un incontournable de tout système de management. Il s’agit pour l’entreprise de prévoir l’organisation, les responsabilités, les flux de communication et les réflexes à adopter dans le cas où une crise surviendrait. L’enjeu est notamment de ne pas « paniquer » le jour où la crise survient de sorte à en sortir avec le minimum de dommages. En plus d’une mise à jour régulière des données, ces procédures doivent aussi faire l’objet de formations et de tests. Le test minimum légal demandé est le test d’évacuation, dans le cas de la gestion d’un incendie. D’autres tests, potentiellement utiles en cas de gestion de crise, sont également prévus par les normes et référentiels appliqués en industrie agroalimentaire ; tests de traçabilité, tests de retrait/rappel, voire des tests d’intrusion, pour vérifier que les barrières externes et la réaction du personnel, permettraient de détecter tout intrus (animé de mauvaises intentions ou simplement en danger dans un environnement inconnu)…. De nombreux risques peuvent affecter l’entreprise, dont les risques liés à la sécurité des aliments (une toxi-infection, un rappel produit…), à l’environnement, au climat social, à la malveillance ou à la fraude, et ce dans un contexte réglementaire qui impacte parfois lourdement des entreprises. Si les procédures de gestion de crise prévoient différents scénarii de crise (sanitaire, environnementale, médiatique…), elles se contentent de prévoir l’organisation qui aura pour mission de prendre les « meilleures » options en cas de crise sans avoir défini a priori les modes de fonctionnement alternatifs pour chacun des scenarii. Or l’actualité nous fournit régulièrement des exemples de crises se traduisant malheureusement par une réduction très conséquente du chiffre d’affaire de l’entreprise voire la disparition de l’entreprise, faute de capacité de récupération rapide. L’enjeu d’un Plan de Continuité d’Activité (PCA) est précisément de combler cette lacune lorsqu’une crise concerne des ressources critiques. Le PCA peut ainsi être vu comme un outil complémentaire des procédures de gestion de crise, munissant l’entreprise de modes de fonctionnement alternatifs prédéfinis visant sa continuité d’activité, lorsqu’un scénario anticipé se produit.

	2. Le Plan de Continuité d’Activité : principe
	Construire un PCA consiste à trouver des solutions alternatives robustes et exhaustives dans la couverture des risques significatifs pour l’entreprise pour assurer la production. Les risques sont par définition illimités et aucune norme n’en dresse une liste exhaustive. Imaginer tous les scenarii qui pourraient impacter la capacité de l’entreprise à répondre aux besoins de ses clients - et plus largement de ses parties prenantes - est donc impossible. Il nous faut donc une méthode. Il existe sur ce point un Guide très complet, le *« Guide pour réaliser un plan de continuité d’activité »* (édition 2013), conçu par le Secrétariat général de la défense et de la sécurité nationale. Ce guide s’adresse à l’ensemble des acteurs économiques il peut sembler parfois excessif pour une application à l’échelle d’une PME de l’agroalimentaire; il fournit néanmoins des clefs méthodologiques intéressantes. Le principe est résumé dans le schéma en page suivante (fig.1) et s’articule autour de quelques concepts-clefs dont : Le recours à la cartographie des processus dont on évalue la criticité au regard de leur impact sur la capacité de l’organisation à répondre aux besoins des clients (« attente de continuité ») L’identification de « ressources critiques » ; le guide les classe en 5 catégories (Infrastructures, Systèmes d’information, Ressources humaines, Ressources intellectuelles et immatérielles, Prestations externes ou produits critiques) que l’on peut rapprocher des 5M (Milieu, Matières, Matériel, Main d’œuvre, Méthode) L’analyse des risques associés ; le guide ne propose pas de règles de cotation (probabilité x gravité) entièrement satisfaisantes à notre sens mais énonce une liste de risques classés en 4 catégories (risques stratégiques, risques opérationnels, risques de gouvernance, risques de conformité) La notion de DMIA (Durée Maximale d’Interruption d’activité) qui conditionne en grande partie les modes de fonctionnement alternatifs retenus (modes dégradés) envisagés Et enfin l’importance de l’arbitrage coûts/avantages qui conditionne lui aussi fortement la stratégie de continuité finalement retenue ; on pourra en effet choisir de traiter, transférer, éviter ou accepter les risques.

	3. Construire un PCA : jusqu’où aller ?
	On le devine l’exercice peut rapidement mener très loin et conduire à investir un temps considérable dans l’échafaudage de scenarii finalement très peu probables. Il s’agira d’analyser les 5 catégories de ressources critiques, par exemple à l’aide d’un arbre d’Ishikawa (« arête de poisson »), puis d’évaluer les risques associés en se concentrant sur les situations raisonnablement prévisibles, permettent déjà d’élaborer un PCA pragmatique « a minima ». Citons deux exemples de situations « raisonnablement prévisibles » : Les effectifs sont diminués en raison d’un impact sur la sécurité et la santé des salariés et plus largement des personnels sous la responsabilité de l’entreprise, ou d’une grève partielle : comment continuer à honorer les commandes avec un effectif restreint ? On pourra se fonder sur des analyses de tâches à valeur ajoutée, et déployer le personnel disponible sur les tâches essentielles, non relégables ou que l’on ne peut ni retarder, ni dissocier. Les modes opératoires ou autres supports didactiques sont alors hautement appréciés. L’outil de production est endommagé durablement suite à un incendie, une pollution, un acte de malveillance, une panne durable sur un équipement crucial …: quelles solutions techniques alternatives sont disponibles pour permettre de continuer à livrer les clients ? L’enjeu est cette fois prévoir en amont les modalités de cette délégation, de production, de stockage, voire de fourniture du produit par des accords, des précontrats le cas échéant. Cette délégation peut-être réciproque dans le cadre de relations entre concurrents « saines ». Notons que des plans de continuité d’activité sont plus fréquemment rencontrés pour gérer les pannes qui auraient un impact très lourd : pour les groupes, les pièces détachées importantes (et chères) sont mutualisées pour réduire le temps d’arrêt au temps d’affrètement de la dite pièce. Des contrats « hotline » sont aussi en place avec des fournisseurs d’équipements, qui comprennent l’envoi des pièces détachées nécessaires en urgence, selon un diagnostic à distance. Ces plans techniques sont en général issus de l’analyse des pannes du site ou de préconisations fournisseurs, surtout pour des équipements neufs. Quelques processus ou procédures clef des systèmes de management peuvent être utilisés dans ces deux cas: veille et analyse de risques, anticipation et gestion de crise, définition des processus et de leur suivi opérationnel… L’intégration des systèmes est alors un facteur d’optimisation significatif, parce qu’il offre des références internes pour définir sur cette base des modes dégradés, ou pour les transmettre à des sous-traitants temporaires.

	Conclusion
	Dans un contexte de marché très concurrentiel, la capacité d’une entreprise à rassurer ses clients par la mise en place d’un PCA peut s’avérer un atout significatif. Ce travail sera par ailleurs grandement facilité pour les entreprises qui structurent le management des risques et de la performance au sens SQEP (Sécurité-Qualité-Environnement-Performance) voire qui déploient un Système de Management Intégré (cf. ExarisInfo N°58). Enfin, pour les entreprises concernées par ISO9001, cette démarche est en totale cohérence avec l’analyse des risques liée au fonctionnement des processus au cœur de la version prévue en septembre 2015. Exaris peut vous accompagner dans la construction de votre PCA,* notre équipe est à votre écoute* *Contactez-nous* *pour avancer ensemble* !