Comment réaliser une analyse d’impact sur l’activité au sein de l’entreprise

Un arrêt de production, l’indisponibilité d’une application ERP ou une attaque par ransomware n’ont pas le même impact sur tous les processus. Pour comprendre dans quels cas une interruption entraîne des pertes inacceptables et dans quels cas, au contraire, il existe des marges de tolérance, il est nécessaire de savoir comment réaliser une analyse d’impact sur l’activité selon une méthode rigoureuse. La BIA n’est pas un simple exercice documentaire : c’est la base d’informations qui permet à la direction, à la gestion des risques, au service informatique et aux fonctions opérationnelles de prendre des décisions défendables en matière de continuité des activités.

Qu’est-ce qu’une analyse d’impact sur l’activité et quels sont ses résultats ?

L’analyse d’impact sur l’activité (Business Impact Analysis, ou BIA) identifie et évalue les conséquences d’une interruption sur les processus, les produits et services fournis, les personnes et les ressources nécessaires au fonctionnement de l’entreprise. Son objectif n’est pas d’estimer la probabilité qu’une menace se concrétise, ce qui relève de l’évaluation des risques, mais de déterminer la gravité de l’impact dans le temps si une activité venait à être indisponible.

Une analyse bien menée traduit le langage des fonctions métier en exigences opérationnelles. Elle détermine quels processus sont prioritaires, dans quels délais ils doivent être rétablis, quelles données doivent être récupérées et de quelles dépendances internes ou externes dépend leur remise en service.

Parmi les résultats attendus figurent le processus de hiérarchisation approuvé par la direction, les valeurs de RTO et de RPO, le MTPD ou le MBCO selon la méthodologie adoptée, les besoins minimaux en ressources et une cartographie des dépendances. Ces éléments servent de base à l’élaboration des plans de continuité d’activité, de reprise après sinistre et de gestion de crise, tout en fournissant des éléments probants utiles pour les audits, les clients stratégiques et les interlocuteurs du secteur des assurances.

Comment réaliser une analyse d’impact sur l’activité : définir le périmètre et la gouvernance

La première erreur consiste à lancer des entretiens sans avoir défini ce que l’on souhaite mesurer. Une analyse d’impact sur les personnes (BIA) peut porter sur l’ensemble de l’organisation, une unité opérationnelle, un site de production, une chaîne logistique, un service numérique ou un programme de transformation. Son périmètre doit être clairement défini, approuvé et cohérent avec les objectifs de l’organisation.

La gouvernance nécessite l’implication directe d’un parrain au sein de la direction, d’un responsable méthodologique et des propriétaires de processus. Le parrain résout les conflits de priorités et veille à ce que l’analyse débouche sur des décisions. Le responsable de l’analyse d’impact sur les affaires (BIA) assure la cohérence des critères, des questionnaires et de la collecte des données. Les responsables de processus décrivent le fonctionnement réel, et pas seulement celui prévu par les procédures ou les organigrammes.

Avant le recensement, il est utile de définir une taxonomie commune. Il convient, par exemple, de faire la distinction entre processus, activité, service, application et actif. Sans vocabulaire commun, deux services pourraient déclarer comme critiques des activités qui se recoupent ou ignorer des dépendances déterminantes.

Définir les scénarios temporels d’impact

L’impact est rarement statique. L’arrêt d’un processus pendant deux heures peut être gérable, tandis qu’au bout de vingt-quatre heures, il peut entraîner des pénalités contractuelles, des retards de livraison, une perte de données, des non-conformités réglementaires ou des atteintes à la sécurité. C’est pourquoi l’évaluation doit s’appuyer sur des plages horaires cohérentes avec l’activité de l’entreprise : par exemple, 0 à 4 heures, 4 à 24 heures, 24 à 72 heures, 3 à 7 jours et plus d’une semaine.

Les seuils temporels ne doivent pas être calqués sur un modèle standard. Une installation fonctionnant en continu, un centre opérationnel, un site de commerce en ligne et un service administratif présentent des courbes d’impact très différentes. La question centrale est la suivante : à quel moment l’interruption dépasse-t-elle le seuil de tolérance de l’organisation ?

Recueillir des données fiables auprès des responsables de processus

Les questionnaires et les entretiens structurés sont des outils complémentaires. Le questionnaire permet de recueillir des informations comparables à grande échelle ; l’entretien sert à clarifier les incohérences, à vérifier les hypothèses et à mettre en lumière des liens qui ne ressortent souvent pas des formulaires remplis.

Pour chaque processus, il convient d’identifier les objectifs, les résultats, les volumes, les périodes de pointe, les obligations contractuelles et réglementaires, les ressources minimales requises et les procédures alternatives. Il est tout aussi nécessaire de s’interroger sur les conséquences que cela pourrait avoir à long terme sur le chiffre d’affaires, les marges, la clientèle, la conformité, la sécurité des personnes et de l’environnement, la réputation et la capacité à fournir des services essentiels.

Les estimations économiques méritent une attention particulière. Une valeur chiffrée peut donner une fausse impression de précision si l’on ignore les hypothèses, la source et la période considérée. Lorsque la quantification directe n’est pas disponible, il est préférable de combiner des fourchettes d’impact avec des indicateurs vérifiables, tels que les commandes non honorées, les tonnes non produites, les dossiers en retard, les pénalités applicables ou les heures d’indisponibilité vis-à-vis du client.

Les informations recueillies doivent faire l’objet d’une mise à l’épreuve. Si toutes les fonctions déclarent que leur processus est critique dans un délai de quatre heures, il n’y a pas de priorité effective. La concertation entre les responsables, facilitée par des critères communs et des données opérationnelles, fait partie intégrante de l’analyse et ne constitue pas une simple formalité administrative.

Mesurer les impacts et fixer les objectifs de restauration

L’évaluation peut s’appuyer sur une échelle qualitative, semi-quantitative ou quantitative. Ce choix dépend de la maturité du système de gestion, de la disponibilité des données et de l’objectif de l’exercice. Dans des contextes réglementés ou industriels complexes, une échelle semi-quantitative s’appuyant sur des éléments concrets offre souvent un bon équilibre entre comparabilité et viabilité du travail.

Le RTO(Recovery Time Objective) définit le délai maximal dans lequel un processus, un système ou une ressource doit être rétabli à un niveau acceptable. Il ne correspond pas au délai souhaité par le responsable du service : il doit être déterminé à partir du moment où l’impact devient intolérable et doit être techniquement réalisable.

Le RPO(Recovery Point Objective) désigne la perte maximale de données tolérable, mesurée dans le temps. Un RPO de quatre heures implique que les données, les enregistrements et les transactions puissent être restaurés avec une perte ne dépassant pas ce délai. Tous les processus n’ont pas les mêmes exigences : une plateforme de paiement, un système de contrôle industriel et un système d’archivage documentaire peuvent nécessiter des objectifs très différents.

Le MTPD (Maximum Tolerable Period of Disruption) représente la limite au-delà de laquelle la survie ou la capacité de l’organisation à fournir des produits et des services n’est plus acceptable. Certaines méthodologies recourent au concept de MBCO (Minimum Business Continuity Objective) pour définir, quant à lui, le niveau minimal de production à garantir dans le cadre de la continuité d’activité. Ces deux paramètres s’avèrent utiles lorsqu’ils sont associés à des décisions concrètes concernant les capacités, les ressources humaines, les sites et les technologies.

Recenser les dépendances et les ressources minimales

Un processus prioritaire ne peut pas être rétabli si ses dépendances font défaut. L’analyse d’impact sur les activités (BIA) doit donc recenser les personnes possédant des compétences clés, les sites, les installations, les machines, les applications, les infrastructures informatiques, les données, les fournisseurs, les services publics et les canaux de communication. Dans un environnement de production, par exemple, la remise en service du système de planification peut s’avérer insuffisante si les matières premières, les moyens de transport, le personnel de maintenance ou les autorisations de sécurité ne sont pas disponibles.

Il est utile de faire la distinction entre les ressources nécessaires au fonctionnement à plein régime et les ressources minimales requises pour fournir le service au niveau MBCO. Cette distinction permet d’éviter de surdimensionner les stratégies d’intervention. Tous les processus ne doivent pas nécessairement revenir immédiatement à 100 % de leur capacité, mais toute réduction temporaire doit être délibérée, mesurable et compatible avec les obligations contractuelles, de sécurité et réglementaires.

Les dépendances vis-à-vis de tiers nécessitent une vérification spécifique. Un contrat conclu avec un fournisseur de services cloud ou un prestataire logistique ne suffit pas, à lui seul, à prouver que les objectifs de reprise sont alignés. Il convient de comparer les SLA, les capacités de réaction, la localisation des ressources, les contraintes liées à la sous-traitance et les modalités de communication en cas de crise.

Valider les résultats et les traduire en décisions

L’analyse d’impact sur les activités (BIA) n’a de valeur que lorsque ses résultats sont validés par les responsables opérationnels dotés d’un pouvoir de décision. Un atelier de validation permet de comparer les priorités, les ressources et les hypothèses entre les différents services. C’est à ce moment-là que les incohérences les plus importantes apparaissent : une application peut avoir un RTO de huit heures, alors que les processus qui l’utilisent exigent une reprise en deux heures ; un fournisseur peut être classé comme non critique, mais desservir trois activités hautement prioritaires.

Une fois approuvés, ces résultats doivent devenir des exigences pour les stratégies. Si un processus doit être maintenu dans les quatre heures, il convient de définir comment y parvenir : travail depuis un site de secours, rotation des équipes, stocks, procédures manuelles, réplication des données, reprise dans un environnement de secours ou accords d’assistance mutuelle. Le choix dépend du coût, de la faisabilité technique, du risque résiduel et des contraintes opérationnelles.

L’analyse d’impact sur les affaires (BIA) n’est pas définitive. Les changements organisationnels, les acquisitions, les nouveaux produits, les migrations vers le cloud, les modifications apportées à la chaîne d’approvisionnement et les mises à jour réglementaires peuvent rendre les résultats antérieurs obsolètes. Une révision périodique et une mise à jour après chaque changement significatif permettent de garantir que l’analyse reste en phase avec la réalité.

Erreurs qui réduisent la valeur de la BIA

La première erreur consiste à confondre la criticité perçue et l’impact démontrable. La deuxième consiste à n’analyser que les systèmes informatiques, en laissant de côté les personnes, les sites, les fournisseurs et les processus manuels. La troisième consiste à accepter les RTO et les RPO sans vérifier la capacité réelle à les respecter par le biais d’architectures, de contrats et de tests.

Un excès de détails constitue également un risque. Une analyse d’impact sur les affaires (BIA) qui tente de recenser chaque micro-activité peut prendre des mois et faire perdre de vue les priorités. Le niveau d’analyse adéquat est celui qui permet d’élaborer des stratégies et des plans réalisables, tout en garantissant la traçabilité des processus et des impacts.

Une analyse d’impact sur l’activité efficace confronte l’organisation à des choix clairs : quels services protéger en priorité, quelle capacité minimale garantir et quel risque résiduel accepter. Lorsque ces choix reposent sur des données, sont validés par la direction et éprouvés lors de tests, la résilience cesse d’être une simple déclaration de principe pour devenir une capacité opérationnelle vérifiable.

This post is also available in: