Comment classer les fonctions critiques de l’entreprise

Une interruption de la facturation peut être gérable pendant quelques heures ; l’indisponibilité du contrôle qualité dans une usine pharmaceutique, de la salle des opérations d’un service public ou de la gestion des sinistres pour un assureur peut avoir des conséquences immédiates. Comprendre comment classer les fonctions critiques de l’entreprise revient à distinguer ce qui est simplement important de ce qui, s’il est suspendu au-delà d’un certain seuil, compromet les obligations réglementaires, la sécurité, le chiffre d’affaires, la réputation ou la capacité même à reprendre les activités.

La classification n’est ni un simple exercice documentaire, ni une liste établie par le seul service informatique. Il s’agit d’une décision de gouvernance qui oriente les investissements, les plans de continuité d’activité, les stratégies de reprise après sinistre, les couvertures d’assurance, les tests et les priorités en matière de réponse aux crises. Si la classification est approximative, le plan a tendance à protéger les applications ou les services visibles, sans nécessairement préserver les processus qui sous-tendent le modèle opérationnel.

Par où commencer pour classer les fonctions critiques ?

Une fonction d’entreprise est un ensemble organisé d’activités qui produit un résultat nécessaire à l’entreprise ou à ses parties prenantes. Elle ne correspond donc pas, en règle générale, à une application unique, à une installation, à un site ou à une personne. La gestion des commandes, par exemple, peut dépendre de plateformes numériques, d’agents du service client, de données d’identification, de procédures de crédit, d’entrepôts et de transporteurs. Pour la classer, il faut analyser l’ensemble du processus, et non l’un de ses éléments constitutifs.

Le cadre méthodologique de référence est l’analyse d’impact sur l’activité (Business Impact Analysis, ou BIA). La BIA recueille des informations auprès des responsables de processus et traduit l’indisponibilité d’une fonction en impacts progressifs dans le temps. La question ne se résume pas à : « Quelle est l’importance de cette activité ? ». Elle est : « Que se passe-t-il après quatre heures, un jour, trois jours ou une semaine d’interruption, et quel est le seuil inacceptable ? ».

Cette approche permet d’éviter deux erreurs courantes. La première consiste à qualifier de « critique » tout ce qu’un responsable considère comme prioritaire dans son travail quotidien. La seconde consiste à considérer comme non critiques les processus qui ne génèrent pas de revenus directs, alors même qu’ils sont essentiels pour les autorisations, la sécurité, la conformité, les paiements, la continuité de la chaîne d’approvisionnement ou la reprise après sinistre.

Fonctions, services, ressources et dépendances

Pour obtenir des résultats exploitables, il convient d’élaborer une taxonomie claire. Au niveau supérieur, on identifie les services ou les produits essentiels fournis par l’organisation. En dessous, on place les fonctions et les processus qui les rendent possibles. À un niveau inférieur, on recense les ressources et les dépendances : les personnes, les compétences spécialisées, les sites, les installations, les fournisseurs, les données, les applications, les infrastructures technologiques et l’approvisionnement en énergie.

Cette distinction est déterminante. Un ERP n’est pas automatiquement une fonction critique : il peut s’agir d’une dépendance à haut niveau de criticité de plusieurs fonctions. De même, un processus peut s’avérer tolérant à une interruption technologique s’il existe des procédures manuelles fiables, mais devenir immédiatement critique si ces procédures nécessitent du personnel indisponible, des données inaccessibles ou des autorisations centralisées.

Critères mesurables permettant d’évaluer le degré de criticité

Une classification défendable auprès de la direction, des auditeurs ou des parties prenantes du secteur de l’assurance doit reposer sur des critères explicites et une échelle d’évaluation commune. Ces critères doivent être adaptés au secteur d’activité, au périmètre géographique et aux obligations de l’organisation. Dans une entreprise industrielle, la sécurité des personnes et l’intégrité des installations revêtiront une importance particulière ; dans un secteur financier ou réglementé, la protection des données, la traçabilité et le respect des obligations de service auront également une importance particulière.

Les impacts à évaluer comprennent généralement la sécurité et la santé, la conformité réglementaire et contractuelle, ainsi que les répercussions financières, opérationnelles, sur la réputation et sur les clients. La perte de données, l’accumulation de retards, les pénalités, l’exposition à des litiges et les répercussions sur les tiers sont également des éléments importants. Il ne suffit pas d’attribuer une note de un à cinq : il faut associer chaque niveau à des indicateurs objectifs, tels que les seuils économiques, les temps d’arrêt, les violations contractuelles, les volumes non traités ou la perte de capacité de production.

Le temps est la variable qui transforme une fonction importante en une fonction critique. C’est pourquoi la BIA devrait définir au moins quatre paramètres :

• la « Maximum Tolerable Period of Disruption », ou MTPD, c’est-à-dire la durée maximale d’interruption tolérable avant que les répercussions ne deviennent inacceptables ;
• le « Recovery Time Objective », ou RTO, c’est-à-dire le délai dans lequel la fonction ou la ressource de support doit être rétablie ;
• le « Recovery Point Objective », ou RPO, qui définit la perte maximale de données tolérable en termes de durée ;
• le niveau de service minimal acceptable pendant la phase de continuité, y compris les volumes, les canaux, les sites de secours et les procédures manuelles.

Le MTPD et le RTO ne sont pas synonymes. Le RTO doit s’inscrire dans le cadre du MTPD, en laissant une marge suffisante pour la stabilisation, le rattrapage des retards et le retour à la normale. Un RTO formellement respecté mais dépourvu de la capacité nécessaire pour gérer les dossiers accumulés peut ne pas protéger du tout le service essentiel.

Comment classer les fonctions critiques de l’entreprise en niveaux opérationnels

Après avoir évalué les impacts et le facteur temps, il est utile de traduire ces résultats en catégories opérationnelles. Une structure à quatre niveaux suffit souvent, à condition de ne pas la considérer comme un automatisme.

Les fonctions critiques de niveau 1 doivent être rétablies immédiatement ou dans les heures qui suivent : leur indisponibilité peut entraîner des risques pour les personnes, des violations graves, l’interruption de services essentiels ou une perte irrémédiable. Les fonctions de niveau 2 doivent être rétablies dans un délai d’un jour ou de quelques jours afin d’éviter des répercussions importantes ou le dépassement des seuils contractuels et opérationnels. Le niveau 3 regroupe les activités importantes mais pouvant être reportées sur une période plus longue, tandis que le niveau 4 comprend les fonctions pouvant être suspendues temporairement sans causer de dommages matériels significatifs.

Cette échelle ne remplace pas le jugement professionnel. Deux processus présentant le même RTO peuvent nécessiter des stratégies très différentes. Une fonction dont le RTO est de huit heures et qui traite des données hautement sensibles pourrait nécessiter une réplication, une séparation des identifiants et des procédures de cybersécurité dédiées. Une activité présentant un RTO identique, mais reposant sur des documents et un personnel joignable, peut être assurée par un site de secours et des consignes opérationnelles contrôlées.

Il convient également de distinguer le caractère critique intrinsèque de celui qui est conjoncturel. La gestion de la paie peut ne pas être critique tous les jours du mois, mais le devenir à l’approche des échéances. La logistique peut changer de catégorie lors d’un pic saisonnier. Les scénarios de crise, les périodes de clôture, les campagnes commerciales et la dépendance vis-à-vis de fournisseurs uniques modifient le profil de risque et doivent être pris en compte dans l’évaluation.

Les dépendances qui bouleversent vos priorités

Une analyse d’impact sur les activités (BIA) efficace ne se limite pas aux déclarations des responsables de service. Elle vérifie si les dépendances déclarées sont cohérentes avec l’objectif de reprise. Une fonction classée au niveau 1, par exemple, ne peut pas dépendre d’un fournisseur ne disposant pas d’accords de continuité vérifiés, d’une seule personne irremplaçable ou d’une application dont la restauration prendrait plus de temps que son RTO.

La cartographie doit mettre en évidence les concentrations de risques : un site unique accueillant différentes équipes, une même identité numérique utilisée par plusieurs processus, une plateforme cloud partagée, une ligne électrique, un site logistique ou un prestataire externe assurant diverses fonctions. Dans le domaine de la cybersécurité, une attention particulière doit être accordée aux répertoires, aux services d’authentification, aux sauvegardes, aux outils de communication, aux accès privilégiés et à l’intégrité des données. Il s’agit de composants moins visibles, mais souvent déterminants pour la capacité effective de réaction.

Pour les organisations industrielles, la classification doit également tenir compte des contraintes physiques et de sécurité : disponibilité des réseaux de services, des systèmes de lutte contre l’incendie, des pièces de rechange critiques, de la maintenance, des procédures d’arrêt et de redémarrage, ainsi que des qualifications des opérateurs. Un processus peut être restaurable d’un point de vue informatique, mais ne pas pouvoir être redémarré en toute sécurité dans les délais indiqués.

Valider la classification avant qu’elle ne soit nécessaire

La valeur de cette classification se révèle au cours des exercices, et non pas uniquement lors de la validation d’une feuille de calcul. Les exercices sur table, les simulations d’indisponibilité des applications, les tests de travail depuis un site de secours et les essais d’activation des fournisseurs permettent de vérifier si les priorités sont réalistes. Chaque test devrait évaluer les délais, les décisions, les goulots d’étranglement, la qualité des informations et la capacité résiduelle, afin de mettre à jour en conséquence l’analyse d’impact sur les activités (BIA) et les stratégies.

La gouvernance doit attribuer des responsabilités précises. Les responsables de processus valident les impacts opérationnels ; la gestion des risques garantit la cohérence avec l’appétit pour le risque ; les services informatiques et de cybersécurité évaluent la faisabilité et les délais de reprise ; le service des achats vérifie la capacité des fournisseurs à faire face ; la direction approuve les priorités et les ressources. Lorsque ces acteurs travaillent sur des bases communes, la classification devient un outil d’aide à la décision, et non plus une simple formalité isolée.

Un examen au moins une fois par an constitue un seuil minimal. Il doit être anticipé à la suite d’acquisitions, d’externalisation, de migrations vers le cloud, de modifications réglementaires, d’incidents, d’ouvertures de sites ou de changements significatifs dans le portefeuille de produits. Le niveau de risque est dynamique, car les processus, les menaces et les dépendances le sont également.

La question pertinente, pour la direction, n’est pas de savoir si chaque fonction dispose d’une définition de son caractère critique. Il s’agit plutôt de savoir si l’organisation serait en mesure de démontrer, à l’aide de preuves opérationnelles, que les fonctions prioritaires peuvent se poursuivre ou reprendre dans les délais annoncés. C’est à partir de cette démonstration qu’une classification aboutie commence à générer une résilience mesurable.

This post is also available in: