Comment préparer un plan de reprise d’activité ?

PRA Plan de Reprise d’Activité, de quoi s’agit-il ?

Le Plan de Reprise d’Activité (PRA) d’une organisation constitue l’ensemble des « procédures documentées lui permettant de rétablir et de reprendre ses activités en s’appuyant sur des mesures temporaires adoptées pour répondre aux exigences métier habituelles après un incident ».

Un plan de reprise d’activité PRA, est donc un plan qui définit les contours de la reprise de tout ou partie de l’activité d’une entité des suites d’un arrêt partiel ou total de cette dernière en fonction d’objectifs de reprise définis au préalable et des modalités pour retrouver un mode de fonctionnement optimal.

Le Plan de Reprise d’Activité (PRA) est généralement associé au Plan de Continuité d’Activité (PCA) organisation qui est défini comme étant l’ensemble « des procédures documentées permettant de répondre à un incident perturbateur, de poursuivre ou rétablir ses activités dans un délai prédéterminé ».

Les organisations préparées disposent généralement d’un Plan de Gestion de Crise (PGC). L’article 8.4.2 de la norme ISO 22301 fait référence à une structure de réponse à un incident qui comprend « des procédures et une structure de management lui permettant de répondre à un incident perturbateur en faisant appel à un personnel ayant les responsabilités, l’autorité et les compétences nécessaires pour gérer l’incident ».

Celui-ci doit comprendre, entre autres, le schéma d’alerte, la composition de la cellule de crise décisionnelle, la localisation de la salle de crise, le plan de communication de crise.

Le terme de PRN est un acronyme couramment utilisé pour qualifier le Plan de Retour à la Normale. La norme ISO 22313, qui énumère les grandes lignes directrices des exigences définies dans la norme ISO 22301, indique que « l’organisation détermine à l’avance comment revenir à la normale suite à une perturbation, et qu’il dispose de procédures documentées pour restaurer les activités et retirer les mesures temporaires adoptées pendant un incident ».

Chronologiquement, le retour à la normale constitue la dernière étape avant la fin de la crise. Cela peut comprendre le rattrapage d’un possible retard causé par la crise, la logistique de réintégration d’un site et aussi le retour d’expérience afin de capitaliser sur l’évènement vécu pour améliorer le dispositif de plan de continuité d’activité.

Aujourd’hui, les organisations font face à différents types de crises pouvant causer de forts impacts économiques. Après le mouvement social qui a perturbé les transports en fin d’année 2019, elles doivent gérer actuellement une crise sanitaire avec le Covid-19 à laquelle une partie de ce guide est consacrée.

PRA Plan de Reprise d’Activité – PCA Plan de Continuité d’Activité – BCP Business Continuity Plan

On définit par Plan de Continuité d’Activité (ou Business Continuity Plan – BCP) l’ensemble des études préparatoires, des stratégies, de l’organisation, des processus et des ressources, destinés à assurer les fonctions vitales de l’entreprise en cas de crises aussi diverses que les risques naturels, sanitaires, énergétiques…

Le Plan de Reprise d’Activité Informatique constitue l’une des composantes d’un Plan de Continuité d’Activité global. Il peut aussi être établit en toute autonomie, en l’absence de plan plus large, par une nécessité plus « départementale », sur demande de tiers partenaires ou sectoriels…

Définition du PRA plan de reprise d’activité Informatique

Un Plan de Reprise d’Activité Informatique met en œuvre l’ensemble des processus et des moyens humains, matériels et technologiques permettant à l’entreprise de faire face à un sinistre informatique majeur, la notion de « majeur » étant très variable d’une entreprise à une autre.

Un PRA Informatique s’articule autour de :

• • La définition et la mise en œuvre de processus et moyens à titre préparatoires, bases essentielles sur lesquelles l’entreprise s’appuiera pour faire face au sinistre.
• • La mise en œuvre opérationnelle d’un mode « dégradé » ou configuration minimale permettant à l’entreprise d’assurer ses fonctions vitales immédiatement après le sinistre. La vitesse de réaction et la qualité de la préparation sont ici essentielles.
• • La reconstitution progressive de l’infrastructure globale permettant à l’entreprise de retrouver une situation identique à celle précédente au sinistre. De nombreux cas témoignent qu’une reconstitution à l’identique d’une infrastructure n’est pas toujours acquise pour une entreprise et peut prendre plusieurs années.

Différence entre PCA plan de continuité d’activité et PRA plan de reprise d’activité

Le Plan de Continuité d’Activité permet, en cas de crise, de continuer l’activité sans perte de service, ou avec une légère dégradation acceptable. Exemple : télétravail en cas de grèves, d’épidémies, …

Le Plan de Reprise d’Activité permet, en cas de crise majeure ou sinistre, de pouvoir reconstruire ou de basculer sur un système de relève – sur une durée déterminée – qui fournira les services nécessaires à la survie de l’entreprise. Il est souvent lié à un risque défini de perte de données (RPO) et durée d’interruption acceptable (RTO).

Exemple de risque :

basculement d’un datacenter sur un site de secours en cas d’incendie.

Les différents sous-ensembles du PCA

Sigle	Intitulé	Périmètre	Objectif
PCA	Plan de Continuité d’Activité	Organisme	Assurer la résilience de l’organisme
PCO	Plan de Continuité des Opérations	Activités métier critiques	Assurer le fonctionnement acceptable des activités critiques
PCS	Plan de Continuité des Services	Partie(s) de l’organisme concernée(s) par la crise	Protection et disponibilité des ressources
PGC	Plan de Gestion de Crise	Partie(s) de l’organisme concernée(s) par la crise	Assurer une gestion maîtrisée du pilotage des plans
PSI	Plan de Secours informatique	Le Système d’Information	Assurer le secours des fonctions centrales du SI
PRA-I	Plan de Reprise d’Activité Informatique	Le Système d’Information	Reprise de l’activité du SI après interruption
PRA-M	Plan de Reprise d’Activité – Métier	Activités métier critiques	Rendre l’activité métier

Pourquoi un PRA plan de reprise d’activité ?

Un plan de reprise d’activité après sinistre décrit les scénarios permettant de reprendre rapidement le travail et de réduire les interruptions à la suite d’un sinistre. Il s’agit d’une partie importante du plan de continuité des activités, qui permet une reprise informatique suffisante et la prévention de la perte de données.

La reprise d’activité doit permettre de répondre également aux questions suivantes :

• Comment les organisations doivent-elles se préparer afin de maintenir ou continuer leurs activités avant de revenir à une situation dite « normale » ou a minima « acceptable » ?
• Quelles sont les conséquences, pour l’organisation de l’arrêt total ou partiel de ses activités sur ses stocks : ✓ Dans le tertiaire, stocks d’activités non réalisées pendant la crise à traiter ?
• Dans l’industrie, stocks de sécurité (matières premières, produits semi-finis, produits finis) à reconstituer ?
• Comment anticiper un niveau de production, et donc une capacité, selon l’incertitude liée aux possibles changements de son marché dans un contexte post-crise (exemple du cas de Covid-19) ?
• Comment planifier sa reprise d’activités en harmonie avec celle de ses donneurs d’ordre et de ses fournisseurs qui sont eux-mêmes impactés dans le cas d’une crise systémique ?

Comment faire un plan de reprise d’activité ?

Préparation du Plan de Reprise d’Activités (PRA) :

Pour une organisation n’ayant pas de dispositif de continuité d’activité et de gestion de crise, il faudra dans un premier temps créer un plan en urgence en identifiant les activités nécessaires à son bon fonctionnement, puis les ressources indispensables à la réalisation de ces activités. Enfin, l’organisation pourra définir et mettre en place ses solutions pour redémarrer, maintenir ces activités critiques identifiées quitte à ce qu’elles soient effectuées en mode dégradé.

Identification de la Stratégie de reprise d’activité

Pour ce faire, il est indispensable d’avoir identifié les activités critiques et les ressources associées, indispensables à la création de valeur. La stratégie de reprise d’activité peut s’appuyer, lorsqu’il a été réalisé, sur le BIA (Business Impact Analysis) qui cartographie les activités critiques dans le temps ainsi que les impacts potentiels selon les grands principes « Finance » « Organisationnel » « Image » « Légal/Contractuel ».

La stratégie est orientée selon le ou les scénarios d’indisponibilité à l’origine de la crise. En effet, une stratégie de reprise sans analyse préalable de l’environnement interne et externe pourrait compromettre le délai de retour à la normale : toutes les organisations qui pourront revenir à la normale rapidement seront en position de force sur ses marchés vis-à-vis de ses concurrents.

Identification des activités critiques

Identification des activités qui sont essentielles pour l’organisation

• Identifier les activités critiques : recensement des activités essentielles pour l’organisation.
• Identifier les dépendances internes : le maintien ou la reprise de certaines activités n’est peut-être pas prioritaire d’un point de vue économique pour l’organisation mais doit tout de même être pris en compte si cela participe à la réalisation des activités critiques.

Pour déterminer les activités critiques ou les métiers à redémarrer prioritairement en fonction des objectifs de reprise fixés au préalable, il y a deux possibilités :

• Soit l’organisation dispose d’un BIA, en général au sein d’un PCA formalisé, alors on détermine, en fonction du BIA, les activités/métiers prioritaires à redémarrer.
• Soit l’organisation ne dispose pas d’un PCA ou n’a pas réalisé de BIA, alors on détermine les grandes typologies d’activité/métier et on identifie celles qui sont indispensables à la création de valeur (activité de production et activité support indispensable à la production par exemple, …).

Identification des ressources

Identification des ressources nécessaires à l’exécution des activités critiques

► Humaines : identifier le nombre de collaborateurs requis pour effectuer chaque activité critique. L’organisation peut prendre en compte la polyvalence de ses collaborateurs qui peuvent être affectés à plusieurs activités.

► Equipements : identifier les équipements nécessaires en distinguant les équipements personnels des équipements mutualisés qui nécessiteront une attention particulière pour travailler.

► Système d’Information : identifier les besoins informatiques qui pourraient être nécessaires pour la reprise (en matière d’équipement, d’applications et de moyens de communication) et de se rapprocher de sa Direction Informatique et/ou de son Prestataire sur la capacité à répondre aux besoins définis.

► Matières Premières : identifier les dépendances en termes de matières premières et avoir des garanties quant à la fourniture possible de celles-ci par les fournisseurs habituels. Le cas échéant, un travail amont sur une recherche de fournisseurs alternatifs devra être réalisée.

► Prestataires / fournisseurs critiques : recenser les fournisseurs et prestataires qui concourent à la réalisation des activités essentielles pour l’organisation. Dans le cas d’une crise globale, l’organisation devra s’assurer que ses fournisseurs soient disponibles et en mesure de fournir leurs prestations essentielles pour l’exécution des activités critiques. Le cas échéant, si le fournisseur est défaillant, l’une des solutions possibles est de faire appel à un autre fournisseur en substitution.

► Sous-traitants : identifier les tâches sous-traitées et s’assurer que les sous-traitants associés soient en capacité de répondre aux demandes dans les délais et contraintes fixés.

Identification des solutions pour le maintien des activités critiques :

► Site de repli :

✓ Interne : en cas d’indisponibilité de son site primaire, l’organisation peut replier ses collaborateurs sur ses autres sites si elle en possède et à condition que ceux-ci disposent de la capacité d’accueil et du matériel nécessaire mais aussi que cela soit possible techniquement (ex : utilisation du même système d’information).

✓ Externe : l’organisation peut contracter avec un fournisseur de site de repli afin de disposer d’un nombre prédéfini de positions de repli déterminé à l’avance. Ces positions peuvent lui être dédiées ou bien mutualisées avec d’autres organisations.

► Travail à distance :

Si l’activité le permet et si les collaborateurs sont équipés, ces derniers pourront travailler depuis leur domicile, avec un équipement personnel ou fourni par l’organisation.

✓ Par exemple, dans le secteur bancaire, les activités de marché sont fortement réglementées ce qui implique notamment l’enregistrement des communications téléphoniques des traders.

► Transfert d’activité Dans la mesure du possible, l’activité de l’organisation peut être prise en charge par les collaborateurs d’une autre entité.

✓ Par exemple, une agence A reprend l’activité d’une agence B sinistrée, les deux agences appartenant à la même organisation

✓ Autre exemple concernant un grand groupe X présent à l’international, l’une de ses filiales Y située à New-York reprend l’activité de la filiale Z localisée à Londres dont le système d’information est indisponible.

Préparation du retour à la normale

Préparer dès que possible le retour à une situation normale permettra à l’organisation de gagner du temps sur le redémarrage de ses activités. En évitant la désorganisation, l’organisation réduira le risque de créer de nouvelles perturbations.

Communication

L’organisation doit maintenir une communication de crise et ce durant toute la phase de retour à la normale. Ses différentes parties prenantes doivent être informées tout au long du processus :

✓ Collaborateurs ✓ Instances Représentatives du Personnel ✓ Clients ✓ Prestataires / Fournisseurs ✓ Actionnaires ✓ Autorités

Ressources Humaines

Selon le type de crise vécue, il peut être indispensable pour l’organisation de mettre en place une cellule psychologique ou d’écoute. A la suite d’une attaque terroriste par exemple, il est primordial d’apporter un soutien moral aux collaborateurs qui ont pu être affectés par cet évènement. Les conséquences psychologiques peuvent être multiples : stress, anxiété, dépression, nervosité…

Moyens généraux

Dans son processus de retour à la normale, l’organisation peut être amenée à remettre en état son site nominal. Celui-ci peut être gravement endommagé à la suite d’un incendie ou d’une inondation. La réparation ou la mise en conformité avec une nouvelle exigence peut être plus ou moins longue et couteuse pour l’organisation.

Des mesures sanitaires particulières pourront également être envisagées comme par exemple la désinfection des surfaces. Avant de pouvoir accueillir de nouveau ses collaborateurs dans ses locaux en toute sécurité et dans les meilleures conditions, l’organisation doit donc maintenir les solutions de continuité d’activité mises en place (repli, travail à distance, espace de coworking, …).

IT et téléphonie

Dans le cas où les collaborateurs ne se sont pas rendus sur leur site nominal pendant une longue durée, l’organisation peut demander à son service de support informatique d’effectuer les mises à jour sur les postes de travail quelques jours avant la réouverture du site. Ainsi le jour de retour des collaborateurs sur le site, ceux-ci seront opérationnels immédiatement.

Dans certaines crises, il est possible que les collaborateurs aient été amenés à récupérer du matériel (écrans, clavier, souris, …) sur leur lieu de travail afin de le transporter chez eux pour être en mesure de travailler à distance. Dans le processus de retour à la normale, il faudra remettre en l’état les postes de travail sur le site nominal. Il peut être recommandé de tenir un inventaire du matériel qui aura été emprunté par les collaborateurs.

Reprise d’activités Métiers

Afin d’éviter de la désorganisation, l’organisation doit établir un ordre de reprise de ses activités. A l’aide de ses Business Impact Analysis (BIA), dans le cas où un plan de continuité d’activité a été implémenté, elle peut hiérarchiser ses activités. Dans un premier temps, elle peut décider de relancer les activités n’ayant pas fait l’objet d’une solution de continuité d’activité et maintenir par exemple en travail à distance les collaborateurs pour lesquels cette solution est opérationnelle.

L’organisation doit aussi gérer le retour à la normale de ses activités non critiques qui doivent redémarrer même si la durée maximale d’indisponibilité admissible (DMIA) est plus longue que celle des activités critiques.

• L’organisation devra se rapprocher des fournisseurs dont elle dépend dans le cadre de la réalisation de ses activités critiques afin de déterminer s’ils sont aptes à reprendre leurs activités dans le cas où ils auraient été également impactés. S’ils ne sont pas disponibles, ils auront peut-être une solution de continuité d’activité prédéfinie lors de la contractualisation et pourront, par exemple, proposer un autre fournisseur en substitution. Dans le cas où du retard a été accumulé durant la crise, l’organisation doit organiser le rattrapage du stock. Pour ce faire, plusieurs solutions internes et externes s’offrent à elle :

► Aménagement des horaires de travail : l’organisation peut solliciter ses collaborateurs le week-end ou le soir. En retour, ceux-ci pourront récupérer des jours de congés ou bien se voir gratifier d’une prime.

► Renforcement des équipes : par des collaborateurs internes ayant les compétences nécessaires pour rattraper le retard accumulé.

► Recours à l’externalisation : l’organisation peut faire appel à une société d’intérim ou de sous-traitance.

Crise du Covid 19 et spécificités

Conditions de reprise d’activités

Pour ordonnancer la reprise, il est important de se reporter aux aspects contractuels et juridiques sans omettre les activités qui sont réalisées sur des sites à l’étranger. La crise du COVID-19 impose aux organisations un changement dans la manière de concevoir leur activité pour garantir la sécurité de leurs collaborateurs, c’est pourquoi avant toute reprise, chaque organisation se doit d’anticiper toutes les mesures et prérequis nécessaires à cette reprise.

Ce Cela passe, notamment, par la définition d’un plan de reprise d’activité corrélé à un protocole sanitaire complet pour assurer toutes les mesures barrières garantissant la sécurité des salariés. Pour permettre la reprise d’activité, il convient que chaque organisation s’assure que des prérequis internes et externes soient traités.

Quelques prérequis « internes » :

• ► Analyser l’ensemble des postes/métiers de l’organisation et définir quels sont ceux qui pourraient être réalisés en travail à distance (si ce n’est pas déjà réalisé), ceux qui ne nécessitent pas d’aménagements particuliers pour assurer les mesures barrières et ceux pour lesquels des aménagements sont nécessaires.
• ► Mettre à jour le Document Unique (DU) : en fonction de l’analyse des postes et des changements sur les postes de travail, il convient de mettre à jour le DU et son analyse des risques.
• ► Définir et valider le Plan de reprise d’activité qui détermine les modalités de reprise en matière de ressources, de date, de conditions de travail (horaire). Il est validé par la Direction et porté à information du CSE de l’organisation le cas échéant.
• ► Définir et valider un protocole sanitaire : ce protocole est complémentaire au plan de reprise d’activité. Il permet d’assurer une garantie quant à la fourniture d’un espace de travail sécurisé pour les collaborateurs. Il définit les gestes et mesures barrières à appliquer de l’arrivée du salarié sur le site jusqu’à son départ ainsi que des bonnes pratiques en dehors du site. Il est validé par la Direction et porté à information du CSE de l’organisation le cas échéant. Lors de sa rédaction, il est conseillé d’associer si possible les services suivants : santé au travail, inspection du travail, ingénieur CARSAT, …
• ► Mettre en place en amont les mesures du protocole sanitaire : préparer les sites en fonction des éléments issus du protocole sanitaire et du plan de reprise (mise en place des mesures barrières notamment, modification des postes de travail à risques, …).

Quelques prérequis « externes » :

• ► Fournisseurs de matières premières : il convient de s’assurer auprès des différents fournisseurs d’avoir une garantie quant à leur capacité respective à pourvoir l’organisation en matières premières. Cette garantie doit pouvoir être durable.
• ► Fournisseurs de consommables et produits d’entretiens : la capacité des organisations à garantir un espace de travail sain et propre en période de pandémie entraine une augmentation de la consommation en produits de nettoyage, de désinfection et d’EPI. Il conviendra de s’assurer de la capacité aux fournisseurs actuels à fournir les organisations ou de faire appel à un autre fournisseur le cas échéant.
• ► Prestataires : il convient de s’assurer auprès des prestataires d’avoir une garantie quant à leur capacité respective à assurer leur prestation. Si les organisations font appel à des sociétés de prestation de nettoyage, il convient de vérifier en amont avec ces dernières les capacités de leur personnel à effectuer une prestation en accord avec les principes de précaution et mesures barrières définis par les organisations.
• ► Sous-traitants : pour toute activité sous-traitée ou en capacité de l’être dans la stratégie de reprise envisagée par les organisations, il convient de s’assurer que les sous-traitants soient en capacité de répondre aux demandes et soient également en capacité d’assurer une continuité sanitaire pour les activités qui seraient sous-traitées.
• ► Pensez également à contacter les fournisseurs, prestataires pour trouver des solutions de soutien (aide financière, support, etc..).

A quel moment le Plan de Retour à la Normale doit-il être déclenché ?

Le retour à la normale correspond au stade 4 du Plan Pandémie grippale de 2011. L’objectif de ce stade 4, qui intervient après le stade 3 correspondant au pic pandémique, est de « revenir à la situation antérieure ». Il est déclenché lorsque l’on repasse en-dessous du seuil épidémique défini par l’Agence Nationale de Santé Publique.

Toutefois, les organisations doivent planifier leur reprise d’activités et peuvent l’initialiser avant l’annonce de la phase 4 et durant la période de déconfinement dans le respect des consignes gouvernementales (cf. schéma ci-après).

Les spécificités du retour à la normale dans le cas d’une crise pandémique

Dans le cas d’une crise comme celle du Covid-19, certaines mesures spécifiques doivent être prises en compte par l’organisation dans le cadre du retour à la normale de son activité. Une fois les métiers et ressources nécessaires identifiés, il convient de définir la manière dont la reprise va s’articuler avec, notamment, les priorités/ordres de démarrage, les manières de fonctionner.

En premier lieu, il convient donc d’identifier pour chaque métier quels sont ceux qui peuvent être réalisés à distance, ceux qui doivent reprendre sur site sans aménagement de poste spécifique et les métiers dont les postes de travail doivent subir des aménagements. Il convient ensuite de définir un schéma de redémarrage avec les temporalités de reprise qui devra être adapté aux réalités et spécificités de l’organisation.

La stratégie de l’organisation devra s’adapter en fonction des mesures de déconfinement qui seront prises par le gouvernement. Selon l’option choisie, l’organisation devra ajuster sa stratégie de reprise d’activité en élaborant différents scénarios de reprise dans le temps, à court (4 à 6 semaines, moyen (2 à 3 mois) et long terme (fin d’année) mais aussi par zone géographique. Une attention particulière devra être apportée aux ressources clés non immunisées dans le cadre d’un déconfinement suite à dépistage.

Les mesures essentielles sont celles concernant le protocole sanitaire. Les mesures et points détaillés ci-dessous sont des éléments génériques qu’il conviendra d’adapter aux spécificités de votre organisation

Rappeler les gestes barrières aux collaborateurs en amont de la reprise et sur les sites via un affichage.

► Désinfection des locaux : L’organisation doit faire appel à son prestataire en charge du nettoyage des espaces de travail voire si cela s’avère nécessaire à une société spécialisée. Pour limiter le risque de contact avec des surfaces contaminées, en plus du nettoyage habituel des locaux, un nettoyage plus fréquent des surfaces en contact avec les mains est préconisé (espaces de convivialité, rampes d’escalier, poignées de portes, boutons d’ascenseurs, …).

Le lavage et la désinfection humide sont à privilégier :

• Dans le cadre d’espaces de travail partagés, mettre à disposition des utilisateurs des lingettes ménagères ou des produits ménagers compatibles avec les surfaces nettoyées. • Rincer à l’eau du réseau d’eau potable.

• Laisser le temps de sécher.

• Si un cas de COVID-19 est survenu sur le lieu de travail, aérer la pièce quand c’est possible. Attendre de préférence plusieurs heures avant de nettoyer les surfaces du poste occupé par le salarié malade (bureau, matériel, poignées de porte…).

Utiliser pour cela des lingettes imbibées du produit de nettoyage habituel, en portant des gants de ménage. Laver ensuite les gants à l’eau et au savon, puis se laver les mains dès le retrait des gants. • Utiliser la filière d’élimination classique pour les déchets potentiellement contaminés.

Les produits de nettoyage habituels restent indiqués pour le nettoyage et la désinfection. En effet, selon l’INRS, le virus est dégradé par les « tensioactifs » contenus dans les produits comme le savon, les dégraissants, les détergents (http://www.inrs.fr/actualites/COVID-19- et-entreprises.html). En fonction des produits, des temps de « contact » sont nécessaires pour garantir une bonne désinfection. Ces temps peuvent varier de 1 à 10 minutes selon les produits. C’est pourquoi il convient de procéder au nettoyage et de laisser sécher naturellement autant que possible.

Pour le nettoyage, les personnes qui seront en charge devront être équipées des EPI adéquats (masque, gants à usage unique, blouse à usage unique).

Une pandémie grippale mais aussi informatique

Malgré tous les impacts que peuvent causer cette crise du Covid-19, l’organisation ne doit pas pour autant négliger les autres menaces qui pèsent sur elle. En effet, depuis le début de cette crise, le nombre de cyberattaques a augmenté, visant les organisations, mais aussi les hôpitaux. Les cyberattaquants profitent de l’insécurité provoquée par la crise du Covid-19 pour multiplier les attaques de type ransomware (rançongiciel), phishing ou encore vol de données, dans un environnement de travail et des outils informatiques moins stables.