Plan de continuité d’activité au Rwanda

Qu’est-ce que le plan de continuité d’activité, et qui en a besoin

C’est une démarche structurée pour déterminer ce qui compte le plus, combien de temps chaque activité critique peut être perturbée, comment chaque système qui la soutient sera rétabli et ce que font les gens entre-temps, suivie d’un plan écrit et d’un exercice. Il convient aux hôpitaux et cliniques, banques et institutions de microfinance, hôtels, écoles, ONG qui mènent des programmes de terrain et à toute organisation où une panne interrompt directement le service aux clients ou aux bénéficiaires.

Le problème qu’il résout

Sans plan, chaque panne est improvisée. Tout le monde attend la seule personne qui connaît les systèmes, la reprise se fait dans l’ordre qui semble urgent, personne n’a le numéro de contrat du fournisseur, et les clients n’entendent rien. Avec un plan, les décisions ont été prises à froid à l’avance : qui dirige, ce qui revient en premier, comment le travail continue à la main, et qui est informé de quoi.

Les chiffres qui guident le plan

La norme internationale de gestion de la continuité d’activité, ISO 22301, utilise quelques termes utiles à connaître :

L’analyse d’impact sur l’activité. Déterminer quelles activités comptent le plus et à quelle vitesse les dommages de leur interruption s’aggravent dans le temps.

La durée maximale d’interruption admissible. Combien de temps une activité peut être arrêtée avant que l’impact devienne inacceptable.

L’objectif de délai de reprise. Le délai visé pour reprendre une activité ou rétablir un système, toujours plus court que la durée admissible.

L’objectif de point de reprise. La quantité de données, mesurée en temps, que vous pouvez vous permettre de perdre : une sauvegarde nocturne signifie jusqu’à une journée.

Le système patients d’un hôpital et le menu de sa cantine se situent évidemment aux deux extrêmes. Noter ces chiffres pour chaque système permet d’investir dans la résilience là où elle compte, et pas ailleurs.

Ce que contient le plan

• Les rôles : qui déclare un incident, qui dirige la reprise, et leurs suppléants.
• Les contacts : personnel, fournisseurs, fournisseurs d’accès internet et contrats de support.
• L’ordre de reprise des systèmes, avec les étapes et les durées attendues.
• Les solutions manuelles pour chaque activité critique, comme des formulaires papier, des listes de prix hors ligne ou un second site.
• La communication : ce qui est dit au personnel, aux clients et aux régulateurs, et par qui.
• Où se trouvent les choses : sauvegardes, identifiants, documentation et matériel de rechange.

Les établissements réglementés

Les établissements supervisés par la Banque nationale du Rwanda relèvent de son règlement n° 43/2022 sur la gestion de la continuité d’activité et la résilience opérationnelle, qui a remplacé une règle antérieure réservée aux banques et exige une équipe de continuité et un plan approuvé par le conseil d’administration. Son règlement sur la cybersécurité, n° 50/2022, attend aussi une reprise testée. Nous ne sommes pas juristes : nous appuyons le volet technique de la reprise et laissons les appréciations de conformité à vos conseillers en risques et juridiques.

Ce que comprend le travail

1. Interroger la direction et les chefs de service sur les activités critiques.
2. Analyser l’impact et convenir des objectifs de reprise de chaque système.
3. Confronter à la réalité : les sauvegardes, le matériel et la connectivité actuels peuvent-ils atteindre ces objectifs ?
4. Rédiger le plan, court et précis.
5. Le tester par un exercice sur table et, si possible, une restauration technique.
6. Combler les lacunes révélées par le test, et fixer la date de revue.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Un premier plan pour un seul site prend généralement une à deux semaines, entretiens et exercice sur table compris. Le coût dépend du nombre de systèmes et de sites critiques, de ce qui doit être établi à partir de zéro, de l’inclusion d’un exercice de restauration technique et du format réglementaire éventuel que le plan doit suivre.

Les erreurs que nous voyons souvent

Considérer les sauvegardes comme tout le plan. Un plan écrit par une seule personne et connu d’elle seule. Des objectifs de reprise que personne n’a validés. Aucune solution manuelle pour les activités qui comptent le plus. Des listes de contacts périmées depuis des années. Et un plan jamais testé, si bien que le premier exercice est une vraie panne.